ГОСТ Р 57580.4-2022

Объекты:

• Кредитные организации (КО), зарегистрированные на территории Российской Федерации.
• Некредитные финансовые организации (НФО) осуществляющие следующие виды деятельности:
  • профессиональных участников рынка ценных бумаг;
  • управляющих компаний инвестиционного фонда, паевого инвестиционного фонда и негосударственного пенсионного фонда;
  • специализированных депозитариев инвестиционного фонда, паевого инвестиционного фонда и негосударственного пенсионного фонда;
  • акционерных инвестиционных фондов;
  • клиринговую деятельность;
  • деятельность по осуществлению функций центрального контрагента;
  • деятельность организатора торговли;
  • деятельность центрального депозитария;
  • репозитарную деятельность;
  • деятельность субъектов страхового дела;
  • негосударственных пенсионных фондов;
  • микрофинансовых организаций;
  • кредитных потребительских кооперативов;
  • жилищных накопительных кооперативов;
  • сельскохозяйственных кредитных потребительских кооперативов;
  • деятельность оператора инвестиционной платформы;
  • ломбардов;
  • оператора финансовой платформы;
  • операторов информационных систем, в которых осуществляется выпуск цифровых финансовых активов;
  • операторов обмена цифровых финансовых активов.

Когда необходимо выполнять требования:

Все КО обязаны внедрить ГОСТ Р 57580.4-2022 (вместе с 57580.3-2022) к 31 декабря 2025 года независимо от уровня защиты, это включает идентификацию критичной архитектуры, управление изменениями и меры операционной надежности.​

Сроки для НФО:

• Усиленный уровень (центральные контрагенты, депозитарии и т.д.): до 31 декабря 2026 года (293 меры);
• Стандартный уровень (страховщики, УК, НПФ): до 31 декабря 2026 года (275 мер).;
• Минимальный уровень (МФО, ломбарды и др.): до 31 декабря 2027 года (190 мер).

Самое главное:

ГОСТ Р 57580.4-2022 устанавливает базовый состав организационных и технических мер по обеспечению операционной надежности финансовых организаций, фокусируясь на минимизации рисков инцидентов, влияющих на финансовые операции и клиентов.

Используемые термины:

Целевая точка восстановления данных (ЦТВД) – состояние (объем), до которого необходимо восстановить данные, используемые в рамках выполнения бизнес- и технологических процессов, связанных с предоставлением финансовых и (или) информационных услуг, для обеспечения возобновления их выполнения.

Целевое время восстановления (ЦВВ) – период времени, установленный финансовой организацией для возобновления предоставления финансовых и (или) информационных услуг, выполняемых при этом бизнес- и технологических процессов или восполнения ресурсов после инцидента, связанного с реализацией информационных угроз.

Техническая мера обеспечения операционной надежности – мера, реализуемая с помощью применения аппаратных, программных, аппаратно-программных средств и (или) систем.

Организационная мера обеспечения операционной надежности – мера, не являющаяся технической мерой обеспечения операционной надежности, предусматривающая установление регламента работы с элементами критичной архитектуры и порядка фиксации результатов выполненной работы, в том числе установление в отдельных случаях временных, территориальных, пространственных, правовых, методических и иных ограничений на условия использования, и режимы работы объекта информатизации и (или) иных связанных с ним объектов.

Конфигурация объекта информатизации – совокупность параметров, определяющих структуру (совокупность функциональных частей и их взаимосвязь) и условия функционирования объекта информатизации.

Система обеспечения операционной надежности – совокупность организационных и технических мер, применение которых направлено на непосредственное обеспечение операционной надежности, процессов применения указанных мер, ресурсного и организационного обеспечения, необходимого для их применения.

Система организации и управления операционной надежностью – совокупность мер, применением которых достигается полнота и качество обеспечения операционной надежности, предназначенных для планирования, реализации, контроля и совершенствования процессов системы обеспечения операционной надежности.

Допустимое время простоя и (или) деградации бизнес- и технологических процессов – допустимый для финансовой организации временной период, в течение которого происходит простой и (или) деградация бизнес- и технологических процессов.

Допустимая доля деградации бизнес- и технологического процесса – допустимое отношение общего количества финансовых (банковских) операций, в том числе операций по переводу денежных средств и (или) иных операций в рамках технологических операций (участков) бизнес- и технологических процессов, совершенных во время деградации бизнес- и технологического процесса в рамках инцидента к ожидаемому количеству операций за тот же период в случае непрерывного оказания услуг, установленного финансовой организацией.

Структура ГОСТ Р 57580.4-2022:

ГОСТ Р 57580.4-2022 состоит из следующих разделов:

• Раздел 6 «Общие положения» содержит общие положения и рекомендации по реализации финансовой организацией процессов системы обеспечения операционной надежности;
• Раздел 7 «Требования к системе обеспечения операционной надежности финансовой организации» содержит требования к содержанию базового состава мер обеспечения операционной надежности, применение которых направлено на непосредственное обеспечение операционной надежности для каждого из уровней защиты;
• Раздел 8 «Требования к системе организации и управлению операционной надежностью финансовой организации» содержит для каждого из уровней защиты требования к содержанию базового состава мер обеспечения операционной надежности, направленных на обеспечение должной зрелости (полноты и качества) реализации системы обеспечения операционной надежности;
• Приложение А «Перечень технологических мер защиты информации» содержит перечень технологических мер защиты информации, обрабатываемой в рамках технологических операций (участков) при выполнении бизнес- и технологических процессов финансовой организации;
• Приложение Б «Целевые показатели операционной надежности» содержит базовый состав целевых показателей операционной надежности и информацию по установлению их сигнальных и контрольных значений.

Общие положения ГОСТ Р 57580.4-2022:

1. Деятельности финансовой организации свойственен риск реализации информационных угроз, что является объективной реальностью, и понизить этот риск можно лишь до определенного остаточного уровня. Для снижения риска и противодействия реализации информационных угроз, а также их влиянию на операционную надежность финансовой организации следует, среди прочего, обеспечить должное планирование, реализацию, контроль и совершенствование процессов системы обеспечения операционной надежности.

2. Планирование и реализация процессов обеспечения операционной надежности должны быть осуществлены финансовой организацией на всех этапах жизненного цикла элементов критичной архитектуры, начиная с этапа разработки и планирования внедрения бизнес- и технологических процессов, реализующих виды деятельности финансовой организации, связанные с предоставлением финансовых и (или) информационных услуг. Указанный подход позволяет удостовериться в эффективности, защищенности и устойчивости реализуемых бизнес- и технологических процессов.

3. Организационная структура управления процессами обеспечения операционной надежности реализуется в соответствии с требованиями нормативных актов Банка России, в частности, и положениями ГОСТ Р 57580.3 и является составляющей частью более широкой организационной структуры управления финансовой организации. Цели и приоритеты обеспечения операционной надежности должны соответствовать целям и приоритетам управления рисками (операционным риском), в том числе риском реализации информационных угроз, установленным в финансовой организации, и должны быть доведены до сведения всех вовлеченных подразделений и должностных лиц финансовой организации. Принимаемые исполнительным органом решения, связанные с обеспечением достижения целей и приоритетов операционной надежности финансовой организации, должны соответствовать общим бизнес-целям финансовой организации.

4. Процессы обеспечения операционной надежности существенным образом связаны с поддержанием непрерывности деятельности и ее восстановлением после возможных прерываний. При этом на обеспечение операционной надежности значительное влияние оказывают проектирование, реализация и управление критичными активами в соответствии с установленными показателями операционной надежности, в том числе разработка и (или) применение технических решений, функциональные возможности и характеристики которых соответствуют потребностям финансовой организации по обеспечению непрерывности и качества функционирования объектов информатизации, входящих в критичную архитектуру. Наряду с мерами обеспечения операционной надежности, приведенными в разделе 7, финансовым организациям следует рассматривать следующие вопросы:

1. проведение сценарного анализа (в части возможного прерывания деятельности финансовой организации в результате реализации инцидентов в отношении критичных активов), проведение анализа влияния на бизнес (BIA) с учетом результатов сценарного анализа, а также установление ЦВВ и ЦТВД в отношении критичных активов;
2. проектирование и реализацию критичных активов в исполнении, позволяющем ограничить негативное воздействие в результате инцидентов и восстановить предоставление финансовых и (или) информационных услуг в течение заданного временного периода (ЦВВ), в том числе завершить расчеты к концу операционного дня, а также обеспечить целостность защищаемой информации, связанной с осуществлением финансовых (банковских) операций, в том числе переводов денежных средств;
3. обеспечение необходимой и достаточной производительности объектов информатизации финансовой организации, их надежной работы (отказоустойчивости), возможности их планового масштабирования, а также оперативного восстановления работоспособности;
4. применение отказоустойчивых решений, разделение основных и резервных критичных активов (в том числе в части их резервирования), используемых в рамках обработки и хранения данных, достигаемое в том числе:
   1. созданием резервных центров обработки и хранения данных, обеспечением защиты информации резервных центров обработки и хранения данных на уровне, эквивалентном основным центрам,
   2. раздельным размещением основного и резервного центров обработки и хранения данных для снижения подверженности однотипным угрозам,
   3. подготовкой и тестированием готовности резервных центров обработки и хранения данных к выполнению, определенных финансовой организацией бизнес- и технологических процессов,
   4. определением резервных каналов связи и электроснабжения в основных и резервных центрах обработки и хранения данных с обеспечением их максимального разделения для снижения вероятности их выхода из строя,
   5. привлечением поставщиков услуг (в том числе поставщиков облачных услуг), имеющих более одного центра обработки данных.

5. Выбор и применение финансовой организацией мер обеспечения операционной надежности включает:

• выбор мер обеспечения операционной надежности, требования к составу и содержанию которых установлены в разделе 7;
• адаптацию (уточнение), при необходимости, выбранного состава и содержания мер обеспечения операционной надежности с учетом модели угроз и нарушителей безопасности информации финансовой организации и структурно-функциональных характеристик объектов информатизации, включаемых в область применения настоящего стандарта;
• исключение из выбранного состава мер, не связанных с используемыми информационными технологиями;
• дополнение, при необходимости, адаптированного (уточненного) состава и содержания мер обеспечения операционной надежности мерами, которые необходимы для обработки актуальных информационных угроз, закрепленных в модели угроз безопасности информации финансовой организации, в том числе обеспечения выполнения требований, установленных нормативными правовыми актами;
• применение для конкретной области адаптированного (уточненного) и дополненного состава мер обеспечения операционной надежности в соответствии с положениями раздела 8.

6. При невозможности технической реализации отдельных выбранных мер обеспечения операционной надежности, а также с учетом экономической целесообразности на этапах адаптации (уточнения) состава мер могут быть разработаны иные (компенсирующие) меры, направленные на нейтрализацию информационных угроз, определенных в модели информационных угроз, и действий нарушителей безопасности информации финансовой организации. В этом случае финансовой организацией должно быть приведено обоснование применения компенсирующих мер обеспечения операционной надежности.

Применение компенсирующих мер обеспечения операционной надежности должно быть направлено на обработку риска, связанного с реализацией тех же информационных угроз, на нейтрализацию которых направлены меры из исходного состава мер обеспечения операционной надежности настоящего стандарта, не применяемые финансовой организацией в связи с невозможностью технической реализации и (или) экономической целесообразностью.

7. Снижение риска реализации информационных угроз в целях обеспечения операционной надежности финансовой организации обеспечивается путем надлежащего выбора, повышения полноты и качества применения соответствующих мер обеспечения операционной надежности. Полнота и качество применения мер обеспечения операционной надежности достигаются планированием, реализацией, контролем и совершенствованием системы обеспечения операционной надежности, осуществляемыми в рамках системы организации и управления операционной надежностью.

8. ГОСТ Р 57580.4-2022 определяет три уровня защиты:

• уровень 3 - минимальный;
• уровень 2 - стандартный;
• уровень 1 - усиленный.

Уровень защиты для финансовой организации применяется согласно критериям, устанавливаемым нормативными актами Банка России с учетом:

• вида деятельности финансовой организации, состава предоставляемых финансовой организацией финансовых и (или) информационных услуг, реализуемых бизнес- и технологических процессов;
• объема финансовых (банковских) операций, в том числе операций по переводу денежных средств;
• размера организации, например отнесения финансовой организации к категории малых предприятий и микропредприятий;
• значимости и роли финансовой организации в рамках банковской системы, финансового рынка Российской Федерации и (или) национальной платежной системы.

9. Финансовой организации следует применить риск-ориентированный подход и определить приоритеты по реализации мер обеспечения операционной надежности таким образом, чтобы данные меры отвечали принятому финансовой организацией допустимому уровню риска реализации информационных угроз (риск-аппетиту), а также были адекватны информационным угрозам и оптимальны с точки зрения рисков и ресурсов для реализации.

Требования к системе обеспечения операционной надежности финансовой организации

Процесс 1 «Идентификация критичной архитектуры»

Применяемые финансовой организацией меры по идентификации критичной архитектуры должны обеспечивать организацию учета и контроля состава элементов критичной архитектуры.

Процесс 2 «Управление изменениями»

Применяемые финансовой организацией меры по управлению изменениями должны обеспечивать:

а) организацию и выполнение процедур управления изменениями в критичной архитектуре, направленных:

1. на управление уязвимостями в критичной архитектуре, с использованием которых могут быть реализованы информационные угрозы и которые могут повлечь превышение значений целевых показателей операционной надежности,
2. планирование и внедрение изменений в критичной архитектуре, направленных на обеспечение недопустимости неоказания или ненадлежащего оказания финансовых (банковских) услуг;

б) управление конфигурациями объектов информатизации;

в) управление уязвимостями и обновлениями (исправлениями) объектов информатизации.

При реализации процесса «Управление изменениями» рекомендуется использовать положения ГОСТ Р 56545.

Процесс 3 «Выявление, регистрация, реагирование на инциденты, связанные с реализацией информационных угроз, и восстановление после их реализации»

Применяемые финансовой организацией меры по выявлению, регистрации, реагированию на инциденты и восстановлению после их реализации должны обеспечивать:

• выявление и фиксацию инцидентов, в том числе обнаружение компьютерных атак и выявление фактов (индикаторов) компрометации объектов информатизации;
• реагирование на инциденты в отношении критичной архитектуры;
• восстановление функционирования бизнес- и технологических процессов и объектов информатизации после реализации инцидентов;
• проведение анализа причин и последствий реализации инцидентов;
• организацию взаимодействия между подразделениями финансовой организации, а также между финансовой организацией и Банком России, причастными сторонами в рамках реагирования на инциденты и восстановления функционирования бизнес- и технологических процессов и объектов информатизации после их реализации.

При реализации процесса «Выявление, регистрация, реагирование на инциденты, связанные с реализацией информационных угроз, и восстановление после их реализации» рекомендуется использовать:

• The Financial Stability Board. Effective Practices for Cyber Incident Response and Recovery. Consultative Document. URL: https://www.fsb.org/wp-content/uploads/P200420-1.pdf (дата обращения: 10 апреля 2021 г.);
• ИСО/МЭК 27035-1-2016;
• ИСО/МЭК 27035-2-2016;
• Рекомендации в области стандартизации Банка России PC БР ИББС-2.5-2014.

Процесс 4 «Взаимодействие с поставщиками услуг»

Применяемые финансовой организацией меры по взаимодействию с поставщиками услуг должны обеспечивать:

• управление риском реализации информационных угроз при привлечении поставщиков услуг, в том числе защиту объектов информатизации, входящих в критичную архитектуру, от возможной реализации информационных угроз, включая компьютерные атаки, со стороны поставщиков услуг;
• управление риском технологической зависимости функционирования объектов информатизации финансовой организации от поставщиков услуг.

При реализации процесса «Взаимодействие с поставщиками услуг» рекомендуется использовать ГОСТ Р ИСО/МЭК 27036-2, ГОСТ Р ИСО/МЭК 27036-4, а также ИСО/МЭК 27036-3-2013.

Процесс 5 «Тестирование операционной надежности бизнес- и технологических процессов»

Применяемые финансовой организацией меры по тестированию операционной надежности бизнес- и технологических процессов должны обеспечивать проведение сценарного анализа (в части возможной реализации информационных угроз) и тестирования с использованием его результатов готовности финансовой организации противостоять реализации информационных угроз в отношении критичной архитектуры (киберучения).

При реализации процесса «Тестирование операционной надежности бизнес- и технологических процессов» также рекомендуется использовать Рекомендации в области стандартизации Банка России PC БР ИББС-2.7-2015.

Процесс 6 «Защита критичной архитектуры от возможной реализации информационных угроз в условиях дистанционной (удаленной) работы»

Финансовая организация должна применять меры по защите критичной архитектуры от возможной реализации информационных угроз в условиях дистанционной (удаленной) работы.

Процесс 7 «Управление риском внутреннего нарушителя»

Финансовая организация должна применять меры по управлению риском внутреннего нарушителя.

Процесс 8 «Обеспечение осведомленности об актуальных информационных угрозах»

Применяемые финансовой организацией меры по обеспечению осведомленности об актуальных информационных угрозах должны обеспечивать:

• организацию взаимодействия финансовой организации и причастных сторон, в том числе клиентов финансовой организации, при обмене информацией об актуальных сценариях реализации информационных угроз;
• использование информации об актуальных сценариях реализации информационных угроз для цели обеспечения операционной надежности финансовой организации;
• повышение осведомленности работников финансовой организации в части противостояния реализации информационных угроз.

Требования к системе организации и управления операционной надежностью финансовой организации

Направление 1 «Планирование процесса системы обеспечения операционной надежности»

В рамках направления "Планирование" финансовая организация обеспечивает определение (пересмотр):

• области применения процесса обеспечения операционной надежности;
• состава применяемых (а также неприменяемых) мер обеспечения операционной надежности из числа мер, определенных в разделах 7 и 8;
• состава и содержания мер обеспечения операционной надежности, являющихся дополнительными к базовому составу мер, приведенных в разделах 7 и 8, определяемых на основе актуальных информационных угроз;
• порядка применения мер обеспечения операционной надежности в рамках процесса обеспечения операционной надежности.

Деятельность в рамках направления «Планирование» реализуется согласно политике финансовой организации в отношении принятого допустимого уровня риска реализации информационных угроз, сигнальных и контрольных значений КПУР, предусмотренных ГОСТ Р 57580.3, а также допустимого уровня простоя и (или) деградации бизнес- и технологических процессов. При необходимости реализация деятельности в рамках направления «Планирование» осуществляется на основе результатов деятельности в рамках направления «Совершенствование».

Направление 2 «Реализация процесса системы обеспечения операционной надежности»

Деятельность в рамках направления «Реализация» осуществляется по результатам выполнения направлений «Планирование» и (или) «Совершенствование».

В рамках направления «Реализация» финансовая организация обеспечивает:

• должное применение организационных и технических мер;
• назначение ответственных лиц за выполнение ролей по обеспечению операционной надежности;
• доступность реализации технических мер;
• обучение, практическую подготовку (переподготовку) работников финансовой организации, ответственных за применение организационных и технических мер;
• повышение осведомленности (инструктаж) работников финансовой организации в области обеспечения операционной надежности.

Направление 3 «Контроль процесса системы обеспечения операционной надежности»

Деятельность в рамках направления «Контроль» должна гарантировать принятие мер обеспечения операционной надежности, осуществляемых надлежащим образом и соответствующих политике финансовой организации в отношении принятого допустимого уровня риска реализации информационных угроз (риск аппетита).

Применяемые финансовой организацией меры должны обеспечивать контроль:

• области применения процесса обеспечения операционной надежности;
• должного применения организационных и технических мер;
• знаний работников финансовой организации в части принятия организационных и технических мер.

Направление 4 «Совершенствование процесса системы обеспечения операционной надежности»

Деятельность в рамках направления «Совершенствование» выполняется на основе результатов проведения мероприятий по выявлению, реагированию на инциденты и по восстановлению после их реализации, по обнаружению недостатков в обеспечении операционной надежности в рамках направления «Контроль», а также в случаях изменения политики финансовой организации в отношении принципов и приоритетов в реализации системы обеспечения операционной надежности, принятого допустимого уровня риска реализации информационных угроз (риск-аппетита), сигнальных и контрольных значений КПУР, а также допустимого уровня простоя и (или) деградации бизнес- и технологических процессов, предусмотренных ГОСТ Р 57580.3.

Применяемые финансовой организацией меры в рамках направления «Совершенствование» должны обеспечивать формирование и фиксацию решений о необходимости выполнения корректирующих или превентивных действий, в частности пересмотр применяемых мер обеспечения операционной надежности. При этом непосредственная деятельность по совершенствованию процесса обеспечения операционной надежности осуществляется в рамках направления «Реализация» и, при необходимости, направления «Планирование».

Приложение А (справочное)

Перечень технологических мер защиты информации, определяемый согласно требованиям нормативных актов Банка России, обрабатываемой в рамках технологических операций (участков) бизнес- и технологических процессов, приведен в таблице ниже.

Приложение Б (справочное)

Базовый состав целевых показателей операционной надежности, определяемый нормативными актами Банка России, приведен в таблице ниже.

В целях контроля за соблюдением установленных целевых показателей операционной надежности финансовая организация определяет сигнальные и контрольные значения для каждого целевого показателя операционной надежности.

В рамках таблицы ниже применяются следующие обозначения:

• С - для сигнальных и контрольных значений целевых показателей операционной надежности, которые финансовая организация определяет самостоятельно (если иное не предусмотрено нормативными актами Банка России);
• ТН - для сигнальных и контрольных значений целевых показателей операционной надежности, которые кредитная организация определяет согласно требованиям нормативных актов Банка России.

Некоторые возможные риски несоблюдения ГОСТ Р 57580.4-2022:

Несоблюдение ГОСТ Р 57580.4-2022 создает значительные операционные, финансовые и репутационные риски для финансовых организаций, включая возможные инциденты с утечками данных, простоями и потерями клиентов.

1. Финансовые и операционные риски

Реализация информационных угроз приводит к несанкционированным переводам средств без согласия клиентов, нарушению непрерывности услуг и прямым убыткам для организации, причастных сторон и клиентов; это также увеличивает нагрузку на капитал из-за существенных потерь. Диверсификация рисков поставок и сопровождения объектов информатизации может усугубиться, если поставщики откажутся от поддержки, вызывая деградацию бизнес-процессов (нарушение целевого уровня операций).

2. Регуляторные и репутационные последствия

Несоответствие влечет невыполнение обязательств по защите интересов клиентов, нарушение законодательства РФ и потенциальные санкции от Банка России (по 757-П, 851-П), включая отзыв лицензии, штрафы и оценку деловой репутации. Системные инциденты могут затронуть финансовую экосистему, вызывая потерю доверия и репутационные потери на рынке.

3. Риски непрерывности и восстановления

Отсутствие мер по выявлению инцидентов, тестированию и PDCA-циклу приводит к неготовности к атакам, отказам ОИИ и невозможности оперативного восстановления, с риском каскадных сбоев в платежной системе.