Методические рекомендации по управлению риском информационной безопасности и обеспечению операционной надежности

(утв. Банком России 21.03.2024 № 7-МР)

Настоящие Методические рекомендации разработаны в целях обеспечения единства подхода к реализации кредитными организациями, за исключением центрального контрагента в значении, установленном пунктом 17 статьи 2 Федерального закона от 7 февраля 2011 года № 7-ФЗ «О клиринге, клиринговой деятельности и центральном контрагенте», и центрального депозитария в значении, установленном статьей 2 Федерального закона от 7 декабря 2011 года № 414-ФЗ «О центральном депозитарии» (далее — кредитные организации), требований Положения Банка России от 8 апреля 2020 года № 716-П «О требованиях к системе управления операционным риском в кредитной организации и банковской группе» (далее — Положение Банка России № 716-П) в части управления риском информационной безопасности и требований Положения Банка России от 12 января 2022 года № 787-П «Об обязательных для кредитных организаций требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг» (далее — Положение Банка России № 787-П), а также к реализации некредитными финансовыми организациями требований Положения Банка России от 15 ноября 2021 года № 779-П «Об установлении обязательных для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года № 86-ФЗ „О Центральном банке Российской Федерации (Банке России)“, в целях обеспечения непрерывности оказания финансовых услуг (за исключением банковских услуг)» (далее — Положение Банка России № 779-П).

1. В целях реализации требований к управлению риском информационной безопасности, установленных главой 7 Положения Банка России № 716-П, кредитным организациям рекомендуется обеспечить реализацию следующих уровней защиты, определенных пунктом 6.7 раздела 6 национального стандарта Российской Федерации ГОСТ Р 57580.3-2022 «Безопасность финансовых (банковских) операций. Управление риском реализации информационных угроз и обеспечение операционной надежности. Общие положения», утвержденного и введенного в действие приказом Федерального агентства по техническому регулированию и метрологии от 22 декабря 2022 года № 1548-ст <1> (далее соответственно — уровни защиты в части управления риском информационной безопасности, ГОСТ Р 57580.3-2022).

---

<1> М.: ФГБУ «Институт стандартизации», 2023.

Кредитным организациям, указанным в пунктах 9.1 и 9.2 Положения Банка России № 716-П, рекомендуется обеспечить реализацию усиленного уровня защиты в части управления риском информационной безопасности.

Кредитным организациям, не относящимся к кредитным организациям, указанным в абзаце втором настоящего пункта, рекомендуется обеспечить реализацию стандартного уровня защиты в части управления риском информационной безопасности.

2. В целях реализации требований, установленных Положением Банка России № 787-П, кредитным организациям рекомендуется обеспечить реализацию следующих уровней защиты, определенных пунктом 6.8 раздела 6 национального стандарта Российской Федерации ГОСТ Р 57580.4-2022 «Безопасность финансовых (банковских) операций. Обеспечение операционной надежности. Базовый состав организационных и технических мер», утвержденного и введенного в действие приказом Федерального агентства по техническому регулированию и метрологии от 22 декабря 2022 года № 1549-ст <2> (далее соответственно — уровни защиты в части обеспечения операционной надежности, ГОСТ Р 57580.4-2022).

---

<2> М.: ФГБУ «Институт стандартизации», 2023.

Кредитным организациям, указанным в пункте 9.1 Положения Банка России № 716-П, рекомендуется обеспечить реализацию усиленного уровня защиты в части обеспечения операционной надежности.

Кредитным организациям, не относящимся к кредитным организациям, указанным в абзаце втором настоящего пункта, рекомендуется обеспечить реализацию стандартного уровня защиты в части обеспечения операционной надежности.

3. В целях реализации требований, установленных Положением Банка России № 779-П, некредитным финансовым организациям рекомендуется обеспечить реализацию следующих уровней защиты в части обеспечения операционной надежности.

Некредитным финансовым организациям, указанным в подпункте 1.4.2 пункта 1.4 Положения Банка России от 20 апреля 2021 года № 757-П «Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций» (далее — Положение Банка России № 757-П), рекомендуется реализовывать усиленный уровень защиты в части обеспечения операционной надежности.

Некредитным финансовым организациям, указанным в подпункте 1.4.3 пункта 1.4 Положения Банка России № 757-П, рекомендуется реализовывать стандартный уровень защиты в части обеспечения операционной надежности.

Некредитным финансовым организациям, указанным в подпункте 1.4.4 пункта 1.4 Положения Банка России № 757-П, рекомендуется реализовывать минимальный уровень защиты в части обеспечения операционной надежности.

4. Кредитным организациям рекомендуется разработать планы внедрения ГОСТ Р 57580.3-2022 и ГОСТ Р 57580.4-2022, предусматривающие выбор и применение организационных и технических мер, направленных на реализацию рекомендуемых уровней защиты в части управления риском информационной безопасности и обеспечения операционной надежности.

Кредитным организациям, указанным в пункте 9.1 Положения Банка России № 716-П, рекомендуется осуществить внедрение ГОСТ Р 57580.3-2022 и ГОСТ Р 57580.4-2022 до 31 декабря 2025 года.

Кредитным организациям, не относящимся к кредитным организациям, указанным в абзаце втором настоящего пункта, рекомендуется осуществить внедрение ГОСТ Р 57580.3-2022 и ГОСТ Р 57580.4-2022 до 31 декабря 2026 года.

5. Некредитным финансовым организациям рекомендуется разработать план внедрения ГОСТ Р 57580.4-2022, предусматривающий выбор и применение организационных и технических мер, направленных на реализацию рекомендуемых уровней защиты в части обеспечения операционной надежности.

Некредитным финансовым организациям, указанным в подпунктах 1.4.2 и 1.4.3 пункта 1.4 Положения Банка России № 757-П, рекомендуется осуществить внедрение ГОСТ Р 57580.4-2022 до 31 декабря 2026 года.

Некредитным финансовым организациям, указанным в подпункте 1.4.4 пункта 1.4 Положения Банка России № 757-П, рекомендуется осуществить внедрение ГОСТ Р 57580.4-2022 до 31 декабря 2027 года.

6. Исполнение настоящих Методических рекомендаций не предполагает применения кредитными организациями приложений А, Б, В, Г к ГОСТ Р 57580.3-2022.

7. Настоящие Методические рекомендации подлежат опубликованию в «Вестнике Банка России» и размещению на официальном сайте Банка России в информационно-телекоммуникационной сети «Интернет».

Заместитель Председателя

---