683‑П: Приведение в соответствие и оценка для банка

Положение № 683-П ЦБ РФ

Положение № 683-П ЦБ РФ от 17.04.2019 устанавливает обязательные требования по защите информации в целях противодействия осуществлению переводов денежных средств без согласия клиента для банков.

Полное название документа:

Положение об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента» (утв. Банком России 17.04.2019 N 683-П)

Скачать последнюю редакцию Положения 683-П можно по здесь (doc, pdf)

Аудит соответствия общим требованиям 683-П

Цель проведения работ

В соответствии с п. 3.1 Положения 683-П защита информации, связанной с проведением банковских операций, должна быть реализована в соответствии с требованиями ГОСТ Р 57580.1-2017.

Формат проведения работ

Работы по обследованию проводятся дистанционно на основании документации.

Аудит соответствия системы защиты информации, в соответствии с требованиями положения 683-П, включает в себя анализ выполнения следующих требований к обеспечению защиты информации:

п.1 — требования к обеспечению защиты информации, применяемые в отношении автоматизированных систем, программного обеспечения, средств вычислительной техники, телекоммуникационного оборудования;

п.5. — требования к обеспечению защиты информации, применяемые в отношении технологии обработки защищаемой информации;

п.6. — требования к обеспечению защиты информации с помощью СКЗИ (ПКЗ-2005, Пр. ФСБ № 378);

п.7. — доведение до клиентов рекомендаций по защите информации от воздействия вредоносного кода;

п.8. — требования к обеспечению защиты информации, применяемые в отношении регистрации инцидентов информационной безопасности;

п.9 — требования к обеспечению защиты информации по порядку проведения оценки соответствия уровню защиты информации.

В ходе аудита проводятся следующие работы:

• осуществляется сбор свидетельств (документы, технические данные и пр.), которые необходимы для оценки мер, процессов и направлений;
• анализируется организационно-распорядительная документация;
• анализируются настройки прикладного и системного программного обеспечения, средств антивирусной защиты, средств криптографической защиты информации;
• проводится интервью с сотрудниками проверяемой организации;
• проводится визуальное наблюдение на объектах проверяемой организации (при необходимости);
• оценивается соответствие проверяемой организации пунктам требований руководящих документов;
• разработка организационно-распорядительной документации для повышения уровня соответствия ГОСТ Р 57580.1-2017 на основании общих требований 683-П
• проводится проверка устранения обнаруженных несоответствий;
• повторно проводится аудит соответствия требований Положения 683-П к системе обеспечения информационной безопасности;
• согласовывается предварительный отчет с результатами аудита, выводами о соответствии требованиям Положения к системе обеспечения информационной безопасности.

Результат и отчетная документация:

1. Отчет о проведенных работах по общим требованиям 683-П (без учета ОУД4);
2. Обоснование и рекомендации по повышению уровня соответствия (если требуются).

Оценка соответствия по ГОСТ Р 57580

Цель проведения работ

В соответствии с п. 3.1 Положения 683-П защита информации, связанной с проведением банковских операций, должна быть реализована в соответствии с требованиями ГОСТ Р 57580.1–2017.

Формат проведения работ

Работы по обследованию проводятся дистанционно на основании документации и интервью.

В ходе оценки проводятся следующие работы:

• определяется область оценки (перечень ИС, объектов доступа, персонала);
• осуществляется сбор свидетельств (документы, технические данные и пр.), которые необходимы для оценки мер, процессов и направлений;
• анализируется организационно-распорядительная документация;
• анализируются настройки сетевого, телекоммуникационного оборудования, программного обеспечения, средств защиты информации (систем DLP, SIEM, PROXY, межсетевых экранов), автоматизированных систем, прикладного программного обеспечения;
• проводится визуальное наблюдение на объектах Банка (в случае необходимости);
• проводится интервью сотрудников проверяемой организации;
• составляется перечень применимых мер по защите информации по ГОСТ Р 57580.1–2017;
• оценивается выполнение мер по защите информации ГОСТ Р 57580.1–2017 (с комментариями);
• рассчитывается числовое значение итоговой оценки соответствия по методике ГОСТ Р 57580.2–2018 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия»;
• разработка организационно-распорядительной документации для повышения уровня соответствия ГОСТ Р 57580.1-2017 (при необходимости, а также Модель угроз);
• согласовывается полученный результат;
• проводится оценка рисков информационной безопасности Банка.

Результат и отчетная документация:

1. Отчет, составленный в строгом соответствии п. 8 ГОСТ Р 57580.2-2018 рекомендации по снижению рисков информационной безопасности и повышению уровня соответствия;
2. Опись документов (копий документов) на бумажных носителях, прилагаемых к отчету по результатам оценки соответствия ЗИ;
3. Опись машинных носителей информации, а также результатов вычисления по каждому из них хэш-функции, реализованной в соответствии с ГОСТ Р 34.11.

Суть 683-П

Положение становится ключевым элементом регулирования информационной безопасности и защиты информации в банковских организациях со стороны Банка России. 683-П действует наравне с другими требованиями ЦБ, в частности:

Положением Банка России № 719-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств»

Важно: 683-П обладает более узкой областью применения в сравнении с 719-П.

Также ключевыми документами становятся ГОСТ Р 57580.1 и ГОСТ Р 57580.2. Происходит это за счет прямых ссылок на ГОСТы и явное указание необходимости соответствовать им для банков.

Аналогичное Положение под номером 757-П принято в отношении некредитных финансовых организаций. Подробнее на странице услуг Приведение в соответствие и оценка по 757-П для НФО.

Для того, чтобы разобраться с тем, как адаптироваться к новым реалиям регуляции, необходимо четко разобрать содержание 683-П и выделить главное.

Какая информация должна защищаться по 683-П?

• Электронные сообщения, содержащиеся в документах, составленных при осуществлении банковских операций в электронном виде, формируемые работниками кредитных организаций и (или) клиентами кредитных организаций
• Криптографические ключи, ключевая информация средств криптографической защиты информации, используемой при осуществлении банковских операций
• Авторизационная информация, необходимая для авторизации клиентов при совершении действий в целях осуществления банковских операций и удостоверения права клиентов распоряжаться денежными средствами
• Информация об осуществленных банковских операциях

На кого распространяются требования 683-П Банка России?

Все без исключения кредитные организации разделены на 2 группы:

1. Системно значимые кредитные организации; кредитные организации, выполняющие функции оператора услуг платежной инфраструктуры системно значимых платежных систем; кредитные организации, значимые на рынке платежных услуг
2. Все остальные кредитные организации

Все банки должны обеспечить соответствие ГОСТ Р 57580.1-2017. При этом первая группа (системно значимые банки и пр.) должна реализовывать усиленный уровень защиты информации, а все остальные должны реализовывать стандартный уровень защиты информации.

Важно! Реализация усиленного уровня защиты информации в соответствии с ГОСТом 57580.1 значительно более трудоемкий процесс в сравнении со стандартным уровнем защиты информации.

Одним из первых требований 683-П, которое вступило в силу по истечении 10 дней после дня его официального опубликования, является требование обеспечить ежегодное тестирование на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры.

Подробнее на странице услуги Пентест (анализ уязвимостей).

Важные требования 683-П для банков

В 683-П были дополнены требования в отношении применения СКЗИ и защиты электронных сообщений кредитными организациями. Со вступлением в силу Указания Банка России № 6071-У от 18 февраля 2022 требования к применению СКЗИ будут ужесточены.

• П.5.1. Кредитные организации должны обеспечить целостность электронных сообщений и подтвердить их составление уполномоченным на это лицом.

В целях обеспечения целостности электронных сообщений и подтверждения их составления уполномоченным на это лицом кредитные организации должны обеспечивать реализацию мер по использованию усиленной квалифицированной электронной подписи, усиленной неквалифицированной электронной подписи или СКЗИ, реализующих функцию имитозащиты информации с аутентификацией отправителя сообщения.

Далеко не все применяемые в настоящий момент банками технологии позволяют обеспечить целостность. В частности, банками используются платежные архитектуры, в которых смс и push-уведомления не позволяют обеспечить целостность и подтвердить составление указанного электронного сообщения уполномоченным на это лицом.

Подробнее в нашем исследовании: Анализ правомерности использования банками Российской Федерации СМС и push-уведомлений для взаимодействия с клиентами.

• П.6. В случае наличия в технической документации на СКЗИ требований к оценке влияния аппаратных, программно-аппаратных и программных средств сети (системы) конфиденциальной связи, совместно с которыми предполагается штатное функционирование СКЗИ, на выполнение предъявляемых к ним требований, такая оценка должна проводиться в соответствии с Положением ПКЗ-2005 по техническому заданию, согласованному с федеральным органом исполнительной власти в области обеспечения безопасности.

Банк России в явном виде отразил необходимость оценки влияния аппаратных, программно-аппаратных и программных средств, совместно с которыми функционирует СКЗИ. Ранее многими банками данные работы игнорировались.

Оценка по ГОСТ Р 57580.2 для банков

Ключевым элементом всей конструкции является обязательность проведения внешней оценки соответствия (аудита) сторонней организацией. В качестве внешней организации необходимо привлекать лицензиата ФСТЭК России (пункты б, д, е лицензии на техническую защиту конфиденциальной информации).

Все банки должны проводить оценку соответствия по ГОСТ Р 57580.2-2018 вне зависимости от уровня защиты информации (усиленный или стандартный) не реже одного раза в два года.

Когда 683-П вступает в силу?

Положение вступает в силу с 1 июня 2019 года, однако часть положений содержат отсрочку. В частности:

• Пункт 4.1 (по сертификации и анализу уязвимостей в прикладном ПО ОУД4) вступил в силу с 1 января 2020 года (Временно дана отсрочка до 1 июня 2021 года)
• Пункт 9.2 (по проведению внешней оценки соответствия по ГОСТ Р 57580.2 — достижение третьего уровня соответствия (0.7)) вступает в силу с 1 января 2021 года
• Пункт 9.2 (по проведению внешней оценки соответствия по ГОСТ Р 57580.2 — достижение четвертого уровня соответствия (0.85)) вступает в силу с 1 января 2023 года

Дополнительные услуги по 683-П

Сторонние организации, обладающие лицензиями ФСТЭК России, могут проводить следующие работы:

• Проведение комплекса работ по обеспечению защиты информации для финансовых организаций
• Тестирование объектов информационной инфраструктуры на предмет проникновений и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры (п.3.2 683-П)

Почему RTM Group?

• Профиль деятельности RTM Group – проведение экспертиз по направлению ИТ и кибербезопасности
• Оценки соответствия и внедрение по ГОСТ Р 57580 проводятся экспертами обладающими большим опытом проведения оценок соответствия по СТО БР ИББС, ISO 27001 авторами профессиональных курсов по банковской безопасности, включая ГОСТ Р 57580.1 .
• Сроки проведения оценки соответствия от 2 недель до 3 месяцев (в зависимости от сложности и количества объектов)
• Мы обладаем лицензиями:
  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты