Оценка соответствия 821-П (бывший 719-П)

Вариант № 1 — обычная оценка соответствия

1. Проведение очных интервью с сотрудниками организации, ответственными за:

   • обеспечение ИБ;
   • функционирование и администрирование информационных систем (ИС), участвующих в переводах денежных средств;
   • обработку платежной информации.

   В ходе очных интервью аудитор производит выборочную проверку существующих настроек компонентов информационной инфраструктуры (ИИ) и выдает устные рекомендации по улучшению системы ИБ в финансовой организации. Срок от 2 до 10 дней

2. Анализ полученной информации и подготовка документации по форме ЦБ:

   • определение соответствия пприменяемых мер и используемых средств защиты требованиям № 821-П (бывший 719-П);
   • вычисление итоговых показателей оценки соответствия;
   • формирование итоговой отчетной документации по установленной форме.

   Срок до 20 дней.

Вариант № 2 — с предварительной оценкой соответствия

1. Проведение очных интервью с сотрудниками организации, ответственными за:

   • обеспечение ИБ;
   • функционирование и администрирование информационных систем (ИС), участвующих в переводах денежных средств;
   • обработку платежной информации.

2. Анализ полученной информации:

   • вычисление предварительных итоговых показателей оценки соответствия;
   • формирование отчета о предварительной оценке соответствия, в котором указываются подробные рекомендации по устранению обнаруженных нарушений.

3. Финальная оценка соответствия

   Проверка проделанной работы по улучшению ИБ в соответствии со списком наших рекомендаций и требованиями Положения № 821-П (бывший 719-П).

4. Подготовка отчета по форме ЦБ:

   • Вычисление итоговых показателей оценки соответствия.
   • Формирование итоговой отчетной документации по установленной форме.

• Обеспечить выполнение требований Положения 683-П, а также обеспечить уровень соответствия ГОСТ 57580.1-2017 не ниже четвертого
• Выполнять внешнюю оценку соответствия по ГОСТ Р 57580 при помощи лицензиата ФСТЭК по ТЗКИ
• Определить для банковских платежных агентов (субагентов) необходимость проведения тестирования на проникновение и анализа уязвимостей ИБ объектов информационной инфраструктуры, а также проведения для них оценки соответствия защиты информации, сертификации или оценки соответствия прикладного ПО
• Провести сертификацию прикладного программного обеспечения автоматизированных систем в соответствии с приказом ФСТЭК России № 131

• Проверять надежность корпоративной сети с помощью тестирования на проникновения, в случае если для них такие требования установлены Банком или другим ОПДС
• Обеспечить минимальный уровень защиты согласно ГОСТ 57580.1-2017, который не применялся ранее
• Обеспечить проведение оценки соответствия защиты информации не реже 1 раза в два года, для БПА осуществляющие функции платежного агрегатора
• Сертифицировать прикладное ПО не ниже 6 уровня доверия в соответствии с приказом ФСТЭК России № 131, в случае принятия такого решения оператором по переводу денежных средств

• Построить систему управления рисками информационной безопасности и определить порядок обеспечения защиты информации в платежной системе
• Выполнять ГОСТ 57580.1-2017 по стандартному уровню защиты информации, а также проводить оценку соответствия не реже чем раз в 2 года
• Обеспечивать уровень соответствия не ниже четвертого по ГОСТ 57580.2-2018
• Определить порядок проведения работ по разработке, сертификации или оценке соответствия для прикладного ПО, предоставляемого клиентам

• Обеспечить выполнение стандарта ГОСТ Р 57580 по стандартному или минимальному уровню защиты информации в соответствии с подпунктами 1.4.3 и 1.4.4 пункта 1.4 Положения Банка России от 20 апреля 2021 года N 757-П.
• Обеспечить уровень соответствия не ниже четвертого по ГОСТ 57580.2-2018
• Обеспечить выполнение технологических мер, указанных в Приложение 2 к Положению Банка России от 17 августа 2023 года N 821-П

• Обеспечить выполнение стандарта ГОСТ Р 57580 по усиленному уровню защиты информации, при оказании услуг системно значимым платежным системам
• Обеспечить выполнение стандарта ГОСТ Р 57580 по стандартному уровню защиты информации (в случае не оказания услуг системно значимым платежным системам)
• Обеспечить уровень соответствия не ниже четвертого по ГОСТ 57580.2-2018
• Проводить оценку соответствия защиты информации не реже одного раза в два года