Ещё в сентябре 2020 года в Министерстве юстиции было зарегистрировано новое Положение Банка России № 719-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств», которое вступило в силу с 1 января 2022 года.

Данное положение пришло на замену действующему Положению Банка России № 382-П, и вступление в силу 719-П его отменяло. Несмотря на довольно продолжительную подготовку к вступлению в действие, у множества организаций финансовой сферы до сих пор остаются вопросы по тому, что же действительно изменилось, какие требования обязательны, и как, соблюдая все правила, экономно расходовать средства? О ключевых моментах этого положения специально для NBJ рассказывает Дмитрий Кобец, заместитель директора технического департамента RTM Group

Проводить ли снова оценку соответствия по ГОСТ?

Текст 719-П включает в себя требования к обеспечению защиты информации при осуществлении переводов денежных средств, а также технологические меры, которые должны обеспечивать защиту информации на технологических участках. Подробно рассматривать их все не имеет смысла, поскольку большая часть уже была описана в предыдущих документах. Сосредоточимся на самом важном.

Итак, одним из ключевых требований нового документа является реализация уровня защиты информации в соответствии с ГОСТ 57580.1 (далее – ГОСТ). И это вызвало недопонимание в среде финансовых организаций. Ведь многие участники этого сектора уже проводили оценку соответствия по ГОСТ в рамках других положений и уверены в том, что делать это ещё раз не нужно. И в этом они ошибаются.

Да, действительно, ранее Положения ЦБ имели аналогичные требования. Речь идет о Положении Банка России № 683-П и Положении Банка России № 672-П (заменённом на Положение № 747-П), а также о положении № 684-П (заменённое на 757-П) для некредитных финансовых организаций. Также аналогичное требование по проведению оценки по ГОСТ было указано в документе другого регулятора. Речь идет о Приказе № 321 от 25.06.2018 Министерства цифрового развития, связи и массовых коммуникаций РФ, на данный момент утратившем силу и заменённом на Приказ № 930 вышеуказанного Министерства, который вступил в силу 01.03.2022 года.

Однако все перечисленные документы предполагают оценку по ГОСТ в определённых областях. Например, посмотрим на 683-П от 17 апреля 2019 г. «Положение об установлении обязательных требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента». Из названия уже видно, что область оценки по ГОСТ в соответствии с требованиями данного документа ограничивается объектами инфраструктуры, в которых осуществляются переводы денежных средств клиентов. Аналогичное положение имеется и для некредитных финансовых организаций, и это Положение от 20 апреля 2021г. № 757-П.

Положение от 23 декабря 2020 г. № 747-П «О требованиях к защите информации в платёжной системе Банка России» ограничивает область оценки участком платёжной системы Банка России. А именно: Автоматизированное рабочее место клиента Банка России; сервисы быстрых платежей (СБП); сервисы срочного перевода и сервис несрочного перевода (ССНП).

Приказ Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 10 сентября 2021 г. № 930 имеет отношение только к информационным технологиям и техническим средствам, предназначенным для обработки биометрических персональных данных в целях проведения идентификации. Такие системы не имеют отношения к платёжному сегменту финансовой организации.

Но как быть с другими системами, которые не относились к вышеупомянутым Положениям, но в них осуществляются переводы денежных средств? Их разве не надо защищать? А если надо, то как? Именно для этого, чтобы решить все эти вопросы, ЦБ РФ и опубликовал Положение № 719-П, установил требования по защите информации к таким информационным системам, определил минимальный уровень соответствия, разъяснил роль каждого участника платёжного процесса, зафиксировал технологические меры. А также установил срок, к которому нужно привести свою организацию в соответствие.

Поскольку данный документ вступил в силу с 1 января 2022 года, его выполнением является уже проведённая к 1 января 2022 года оценка соответствия по ГОСТ 57580.1 и достигнутый четвёртый уровень соответствия, на основании пунктов № 2.4; 3.7; 4.5; 6.8 Положения № 719-П.

Таким образом, если в вашей финансовой организации проводилась оценка соответствия по ГОСТ 57580.1 на основании Положений № 683-П, 747-П, то она не может быть использована как оценка соответствия по ГОСТ 57580.1 по 719-П, поскольку у этих документов разные области оценки, разное количество информационных систем, которые нужно оценивать. И если вы решите осуществить подобную замену, это будет воспринято как прямое невыполнение 719-П, а именно указанных выше пунктов Положения (№ 2.4; 3.7; 4.5; 6.8), что может привести к санкциям со стороны регулятора (ЦБ РФ).

А потому выполнять требование нового документа всё же придётся. Причём для этого необходимо привлекать сторонние организации, имеющие лицензию на осуществление деятельности по технической защите конфиденциальной информации на проведение работ и услуг, предусмотренных подпунктами "б", "д" или "е" пункта 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утверждённого постановлением Правительства РФ от 3 февраля 2012 года №79, в соответствии с п.1.1. 719-П.

И возможно ли при этом сэкономить?

Если провести анализ среднерыночной стоимости оценки соответствия по ГОСТ 57580, то её выполнение по одному из положений имеет примерно одинаковую стоимость. Обозначим её условной единицей «С». Таким образом, чтобы выполнить требование Положения 683-П, финансовой организации необходимо заплатить «С». Для реализации аналогичного процесса в рамках 747-П нужно будет еще раз заплатить сумму «С». Путём несложных математических подсчётов можно понять, что для выполнения всех требований Положений ЦБ необходимо будет заплатить сумму, превышающую «С» втрое.

Однако ЦБ РФ пошёл навстречу финансовым организациям: в письме от 22 мая 2020 года № 56-1-11/265 регулятор указал, что в Положении и ГОСТе 57580 не содержатся ограничения на возможность оформления одного отчёта по результатам оценки соответствия защиты информации с учётом различных контуров безопасности. Это значит, что выполняющие оценку соответствия сторонние организации могут значительно снизить трудозатраты, связанные с написанием, оформлением и оценкой трёх отчётов. Ведь в область оценки 719-П уже входят информационные системы, которые охватывают 683-П, 747-П. Таким образом, стоимость выполнения всех Положений ЦБ при грамотном подходе составит ту же самую условную единицу «С» (а не три «С»), и при этом будут выполнены все требования 683-П, 747-П, 719-П.

Материал также опубликован в печатной версии Национального Банковского Журнала (апрель 2022)