О чём:
Методические рекомендации посвящены тому, как финансовым организациям грамотно выстраивать работу в сфере информационной безопасности и обеспечивать бесперебойность своих операций. Документ разъясняет, каким образом кредитным и некредитным финансовым организациям, а также операторам платёжных систем следует:
- управлять рисками в области информационной безопасности — то есть систематически выявлять потенциальные угрозы, оценивать их влияние и принимать меры для минимизации ущерба;
- поддерживать операционную надёжность — гарантировать устойчивость ключевых бизнес‑процессов и ИТ‑систем, чтобы даже при нештатных ситуациях работа не останавливалась;
- предотвращать инциденты, способные нарушить непрерывность операций, а если они всё же происходят — оперативно на них реагировать и устранять последствия.
В рекомендациях подробно расписаны шаги для каждой из этих задач:
- по управлению рисками — как организовать процесс выявления угроз, распределить зоны ответственности внутри компании и вписать ИБ‑риски в общую систему риск‑менеджмента;
- по операционной надёжности — как проектировать устойчивые процессы и системы, разрабатывать планы восстановления после сбоев и вести мониторинг показателей надёжности;
- по реагированию на инциденты — как быстро обнаруживать проблемы, классифицировать их, принимать меры и взаимодействовать с регулятором и другими участниками инфраструктуры.
Кроме того, документ содержит указания по организации внутреннего и внешнего контроля: как проводить аудит мер ИБ, какие документы вести и какую отчётность формировать. Рекомендации адресованы широкому кругу участников финансового рынка: банкам и иным кредитным организациям, некредитным финансовым организациям, операторам платёжных систем и другим поднадзорным Банку России субъектам.
Направление нормативного акта:
Защита информации и обеспечение информационной безопасности.
Внутренняя деятельность.
Вид нормативного акта:
Методические рекомендации.
Наименование нормативного акта:
По управлению риском информационной безопасности и обеспечению операционной надёжности.
Реквизиты нормативного акта:
Дата утверждения: 21 марта 2024 года.
Дата утверждения: 21.03.2024.
Регулятор: Банк России.
Статус нормативного акта:
Носит рекомендательный характер для финансовых организаций.
Основные положения:
Цель документа — обеспечение единства подхода к реализации требований Банка России по управлению риском информационной безопасности и операционной надёжности для кредитных и некредитных финансовых организаций. Основываются на положениях Банка России № 716-П (управление операционным риском), № 787-П (требования к операционной надёжности для кредитных организаций), № 779-П (требования к операционной надёжности для НФО).
Разъясняют порядок внедрения ГОСТ Р 57580.3-2022 (управление риском информационных угроз) и ГОСТ Р 57580.4-2022 (обеспечение операционной надёжности).
Сроки внедрения:
- Кредитным организациям, указанным в п. 9.1 Положения № 716-П, — до 31 декабря 2025 года.
- Остальным кредитным организациям — до 31 декабря 2026 года.
- НФО, указанным в подп. 1.4.2 и 1.4.3 п. 1.4 Положения № 757-П, — до 31 декабря 2026 года.
- Остальным НФО — до 31 декабря 2027 года.
Требования к планированию: Кредитным организациям рекомендуется разработать планы внедрения ГОСТ, включающие выбор и применение организационных и технических мер для реализации рекомендуемых уровней защиты.
Связь с другими документами:
- ГОСТ Р 57580.3-2022 (управление риском информационных угроз);
- ГОСТ Р 57580.4-2022 (обеспечение операционной надёжности);
- Положение Банка России № 716-П, № 787-П, № 779-П.
Ссылки для ознакомления:
Требования определённые нормативным актом:
Не включен в сводную таблицу требований (в разработке).
Ключевые теги
#ЦБРФ #информационная_безопасность #операционная_надёжность #финансовый_сектор #банки #НФО #управление_рисками #ГОСТ #стандарты_ИБ #регуляторные_требования #кибербезопасность #финансовые_организации #риск_ИБ #защита_информации #нормативные_рекомендации