---
title: "\"Методические рекомендации по расчету значений показателей оценки выполнения требований к технологическим мерам защиты информации и прикладному программному обеспечению автоматизированных систем и приложений в целях составления отчетности об оценке выполнения требований к обеспечению защиты информации некредитными финансовыми организациями\""
number: "8-МР"
issuer: "Центральный банк Российской Федерации"
status: действует
canonical: "https://bukva.ai/docs/8-mr-bank-rossii-tsentralnyy-bank-4"
---

## "Методические рекомендации по расчету значений показателей оценки выполнения требований к технологическим мерам защиты информации и прикладному программному обеспечению автоматизированных систем и приложений в целях составления отчетности об оценке выполнения требований к обеспечению защиты информации некредитными финансовыми организациями"

# "Методические рекомендации по расчету значений показателей оценки выполнения требований к технологическим мерам защиты информации и прикладному программному обеспечению автоматизированных систем и приложений в целях составления отчетности об оценке выполнения требований к обеспечению защиты информации некредитными финансовыми организациями"

(утв. Банком России 20.06.2023 N 8-МР)

> [!IMPORTANT]
> Текст документа приведен в соответствии с публикацией на сайте https://cbr.ru по состоянию на 23.06.2023.


<a id="p100001"></a>**ЦЕНТРАЛЬНЫЙ БАНК РОССИЙСКОЙ ФЕДЕРАЦИИ**

<a id="p100002"></a>20 июня 2023 г. N 8-МР


## <a id="p100003"></a>МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ

**ПО РАСЧЕТУ ЗНАЧЕНИЙ ПОКАЗАТЕЛЕЙ ОЦЕНКИ ВЫПОЛНЕНИЯ ТРЕБОВАНИЙ**
**К ТЕХНОЛОГИЧЕСКИМ МЕРАМ ЗАЩИТЫ ИНФОРМАЦИИ И ПРИКЛАДНОМУ**
**ПРОГРАММНОМУ ОБЕСПЕЧЕНИЮ АВТОМАТИЗИРОВАННЫХ СИСТЕМ**
**И ПРИЛОЖЕНИЙ В ЦЕЛЯХ СОСТАВЛЕНИЯ ОТЧЕТНОСТИ ОБ ОЦЕНКЕ**
**ВЫПОЛНЕНИЯ ТРЕБОВАНИЙ К ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ИНФОРМАЦИИ**
**НЕКРЕДИТНЫМИ ФИНАНСОВЫМИ ОРГАНИЗАЦИЯМИ**


### <a id="p100004"></a>Глава 1. Общие положения


<a id="p100005"></a>1.1. Настоящие Методические рекомендации разработаны в целях обеспечения единства подходов к расчету значений показателей оценки выполнения требований к технологическим мерам защиты информации (направление "Технологические меры") и требований к прикладному программному обеспечению автоматизированных систем и приложений (направление "Безопасность программного обеспечения") при составлении отчетности об оценке выполнения требований к обеспечению защиты информации некредитными финансовыми организациями.

#### <a id="p100006"></a>1.2 Настоящими Методическими рекомендациями рекомендуется руководствоваться следующим отчитывающимся организациям:

<a id="p100007"></a>профессиональным участникам рынка ценных бумаг, организаторам торговли, клиринговым организациям при составлении отчетности по [форме](https://bukva.ai/docs/ukazanie-ukazaniya-6282-u#p117927) 0420433 "Сведения об оценке выполнения требований к обеспечению защиты информации профессиональными участниками рынка ценных бумаг, организаторами торговли, клиринговыми организациями";
<a id="p100008"></a>негосударственным пенсионным фондам при составлении отчетности по [форме](https://bukva.ai/docs/ukazanie-ukazaniya-6269-u#p110122) 0420266 "Сведения об оценке выполнения требований к обеспечению защиты информации негосударственным пенсионным фондом";
<a id="p100009"></a>операторам инвестиционной платформы, операторам финансовой платформы, операторам информационных систем, в которых осуществляется выпуск цифровых финансовых активов, операторам обмена цифровых финансовых активов при составлении отчетности (отчета) по [форме](https://bukva.ai/docs/ukazanie-ukazaniya-6243-u#p102463) 0420722 "Сведения об оценке выполнения требований к обеспечению защиты информации оператором инвестиционной платформы, оператором финансовой платформы, оператором информационных систем, в которых осуществляется выпуск цифровых финансовых активов, и оператором обмена цифровых финансовых активов";
<a id="p100010"></a>страховым организациям при составлении отчетности по [форме](https://bukva.ai/docs/ukazanie-ukazaniya-6315-u#p139323) 0420175 "Сведения об оценке выполнения требований к обеспечению защиты информации страховой организацией".


### <a id="p100011"></a>Глава 2. Рекомендации по расчету значений показателей оценки выполнения требований к технологическим мерам защиты информации (направление "Технологические меры")


<a id="p100012"></a>2.1. Расчет значений показателей оценки выполнения требований к технологическим мерам защиты информации по направлению "Технологические меры" рекомендуется осуществлять в отношении требований, указанных в [приложении 1](#p100141) к настоящим Методическим рекомендациям (далее для целей настоящей главы - требования).

#### <a id="p100013"></a>2.2 По направлению "Технологические меры" осуществляется расчет значений следующих показателей:

<a id="p100014"></a>EТМП - оценка, характеризующая выполнение требований в рамках процесса планирования применения мер защиты информации;
<a id="p100015"></a>EТМР - оценка, характеризующая выполнение требований в рамках процесса реализации применения мер защиты информации;
<a id="p100016"></a>EТМК - оценка, характеризующая выполнение требований в рамках процесса контроля применения мер защиты информации;
<a id="p100017"></a>EТМС - оценка, характеризующая выполнение требований в рамках процесса совершенствования применения мер защиты информации;
<a id="p100018"></a>EТМ - обобщающий показатель уровня оценки соответствия по направлению "Технологические меры".
<a id="p100019"></a>2.3. Значение оценки, характеризующей выполнение требований в рамках процесса планирования применения мер защиты информации (EТМП), рекомендуется рассчитывать по формуле:

<a id="p100020"></a> $\text{Е}_{\text{ТМП}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{По}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Пп}_{i}}}{2N} ,$ где

<a id="p100021"></a>i - порядковый номер оцениваемых требований;
<a id="p100022"></a>N - общее количество требований;
<a id="p100023"></a> $E_{\text{По}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса планирования применения мер защиты информации по вопросу определения области применения меры защиты информации;
<a id="p100024"></a> $E_{\text{Пп}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса планирования применения мер защиты информации по вопросу определения порядка применения меры защиты информации.
<a id="p100025"></a>В рамках процесса планирования применения мер защиты информации оценку требований рекомендуется осуществлять по следующим вопросам:
<a id="p100026"></a>"Определена ли область применения меры защиты информации?";
<a id="p100027"></a>"Определен ли порядок применения меры защиты информации?".
<a id="p100028"></a>Оценку ответов на вопросы рекомендуется производить путем присвоения им следующих значений:
<a id="p100029"></a>1 - "да" ("определено");
<a id="p100030"></a>0 - "нет" ("не определено").
<a id="p100031"></a>2.4. Значение оценки, характеризующей выполнение требований в рамках процесса реализации мер защиты информации (EТМР), рекомендуется рассчитывать по формуле:

<a id="p100032"></a> $\text{Е}_{\text{ТМР}} = \frac{\sum_{i}^{N} {}_{= 1}E_{P\text{м}_{i}}}{N} ,$ где

<a id="p100033"></a>i - порядковый номер оцениваемых требований;
<a id="p100034"></a>N - общее количество требований;
<a id="p100035"></a> $E_{P\text{м}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса реализации мер защиты информации.
<a id="p100036"></a>Оценку ответов на вопросы рекомендуется производить путем присвоения им следующих значений:
<a id="p100037"></a>1 - "да" ("постоянно", "всегда", "в полном объеме");
<a id="p100038"></a>0,75 - "в основном да" ("почти постоянно", "почти всегда", "почти в полном объеме");
<a id="p100039"></a>0,5 - "частично" ("отчасти да", "не всегда", "в некоторых случаях");
<a id="p100040"></a>0,25 - "в основном нет" ("непостоянно", "почти никогда");
<a id="p100041"></a>0 - "нет" ("никогда", "ни в каких случаях").
<a id="p100042"></a>2.5. Значение оценки, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации (EТМК), рекомендуется рассчитывать по формуле:

<a id="p100043"></a> $\text{Е}_{\text{ТМК}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Ко}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Кп}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Кз}_{i}}}{\text{З}N} ,$ где

<a id="p100044"></a>i - порядковый номер оцениваемых требований;
<a id="p100045"></a>N - общее количество требований;
<a id="p100046"></a> $E_{\text{Ко}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации по вопросу контроля области применения меры защиты информации;
<a id="p100047"></a> $E_{\text{Кп}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации по вопросу контроля надлежащего применения меры защиты информации;
<a id="p100048"></a> $E_{\text{Кз}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации по вопросу контроля знаний работников некредитной финансовой организации в части применения меры защиты информации.
<a id="p100049"></a>В рамках процесса контроля применения мер защиты информации оценку требований рекомендуется осуществлять по следующим вопросам:
<a id="p100050"></a>"Обеспечен ли контроль области применения меры защиты информации?";
<a id="p100051"></a>"Обеспечен ли контроль надлежащего применения меры защиты информации?";
<a id="p100052"></a>"Обеспечен ли контроль знаний работников некредитной финансовой организации в части применения меры защиты информации?".
<a id="p100053"></a>Оценку ответов на вопросы рекомендуется производить путем присвоения им следующих значений:
<a id="p100054"></a>1 - "да" ("контроль обеспечен");
<a id="p100055"></a>0 - "нет" ("контроль не обеспечен").
<a id="p100056"></a>2.6. Значение оценки, характеризующей выполнение требований в рамках процесса совершенствования применения мер защиты информации (EТМС), рекомендуется рассчитывать по формуле:

<a id="p100057"></a> $\text{Е}_{\text{ТМ}C} = \frac{\sum_{i}^{N} {}_{= 1}E_{C\text{и}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Сн}_{i}}}{2N} ,$ где

<a id="p100058"></a>i - порядковый номер оцениваемых требований;
<a id="p100059"></a>N - общее количество требований;
<a id="p100060"></a> $E_{C\text{и}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса совершенствования применения мер защиты информации по вопросу анализа необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации;
<a id="p100061"></a> $E_{\text{Сн}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса совершенствования применения мер защиты информации по вопросу анализа необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации.
<a id="p100062"></a>В рамках процесса совершенствования применения мер защиты информации оценку требований рекомендуется осуществлять по следующим вопросам:
<a id="p100063"></a>"Осуществляется ли анализ необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации?";
<a id="p100064"></a>"Осуществляется ли анализ необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации?".
<a id="p100065"></a>Оценку ответов на вопросы рекомендуется производить путем присвоения им следующих значений:
<a id="p100066"></a>1 - "да" ("анализ совершенствования осуществляется");
<a id="p100067"></a>0 - "нет" ("анализ совершенствования не осуществляется").
<a id="p100068"></a>2.7. Значение обобщающего показателя уровня оценки соответствия по направлению "Технологические меры" (EТМ) рекомендуется рассчитывать по формуле:

<a id="p100069"></a>EТМ = 0,2EТМП + 0,4EТМР + 0,25EТМК + 0,15EТМС, где

<a id="p100070"></a>EТМП - значение оценки, характеризующей выполнение требований в рамках процесса планирования применения мер защиты информации, рассчитанное в соответствии с пунктом 2.3 настоящей главы;
<a id="p100071"></a>EТМР - значение оценки, характеризующей выполнение требований в рамках процесса реализации мер защиты информации, рассчитанное в соответствии с [пунктом 2.4](#p100031) настоящей главы;
<a id="p100072"></a>EТМК - значение оценки, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации, рассчитанное в соответствии с [пунктом 2.5](#p100042) настоящей главы;
<a id="p100073"></a>EТМС - значение оценки, характеризующей выполнение требований в рамках процесса совершенствования применения мер защиты информации, рассчитанное в соответствии с [пунктом 2.6](#p100056) настоящей главы.


### <a id="p100074"></a>Глава 3. Рекомендации по расчету значений показателей оценки выполнения требований к прикладному программному обеспечению автоматизированных систем и приложений (направление "Безопасность программного обеспечения")


<a id="p100075"></a>3.1. Расчет значений показателей оценки выполнения требований к прикладному программному обеспечению автоматизированных систем и приложений по направлению "Безопасность программного обеспечения" рекомендуется осуществлять в отношении требований, указанных в [приложении 2](#p100224) к настоящим Методическим рекомендациям (далее для целей настоящей главы - требования).

#### <a id="p100076"></a>3.2 По направлению "Безопасность программного обеспечения" осуществляется расчет значений следующих показателей:

<a id="p100077"></a>EПОП - оценка, характеризующая выполнение требований в рамках процесса планирования применения мер защиты информации;
<a id="p100078"></a>EПОР - оценка, характеризующая выполнение требований в рамках процесса реализации применения мер защиты информации;
<a id="p100079"></a>EПОК - оценка, характеризующая выполнение требований в рамках процесса контроля применения мер защиты информации;
<a id="p100080"></a>EПОС - оценка, характеризующая выполнение требований в рамках процесса совершенствования применения мер защиты информации;
<a id="p100081"></a>EПО - обобщающий показатель уровня оценки соответствия по направлению "Безопасность программного обеспечения".
<a id="p100082"></a>3.3. Значение оценки, характеризующей выполнение требований в рамках процесса планирования применения мер защиты информации (EПОП), рекомендуется рассчитывать по формуле:

<a id="p100083"></a> $\text{Е}_{\text{ПОП}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{По}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Пп}_{i}}}{2N} ,$ где

<a id="p100084"></a>i - порядковый номер оцениваемых требований;
<a id="p100085"></a>N - общее количество требований;
<a id="p100086"></a> $E_{\text{По}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса планирования применения мер защиты информации по вопросу определения области применения меры защиты информации;
<a id="p100087"></a> $E_{\text{Пп}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса планирования применения мер защиты информации по вопросу определения порядка применения меры защиты информации.
<a id="p100088"></a>В рамках процесса планирования применения мер защиты информации оценку требований рекомендуется осуществлять по следующим вопросам:
<a id="p100089"></a>"Определена ли область применения меры защиты информации?";
<a id="p100090"></a>"Определен ли порядок применения меры защиты информации?".
<a id="p100091"></a>Оценку ответов на вопросы рекомендуется производить путем присвоения им следующих значений:
<a id="p100092"></a>1 - "да" ("определено");
<a id="p100093"></a>0 - "нет" ("не определено").
<a id="p100094"></a>3.4. Значение оценки, характеризующей выполнение требований в рамках процесса реализации мер защиты информации (EПОР), рекомендуется рассчитывать по формуле:

<a id="p100095"></a> $\text{Е}_{\text{ПОР}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Рм}_{i}}}{N} ,$ где

<a id="p100096"></a>i - порядковый номер оцениваемых требований;
<a id="p100097"></a>N - общее количество требований;
<a id="p100098"></a> $E_{\text{Рм}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса реализации мер защиты информации.
<a id="p100099"></a>Оценку ответов на вопросы рекомендуется производить путем присвоения им следующих значений:
<a id="p100100"></a>1 - "да" ("постоянно", "всегда", "в полном объеме");
<a id="p100101"></a>0,75 - "в основном да" ("почти постоянно", "почти всегда", "почти в полном объеме");
<a id="p100102"></a>0,5 - "частично" ("отчасти да", "не всегда", "в некоторых случаях");
<a id="p100103"></a>0,25 - "в основном нет" ("непостоянно", "почти никогда");
<a id="p100104"></a>0 - "нет" ("никогда", "ни в каких случаях").
<a id="p100105"></a>3.5. Значение оценки, характеризующей выполнение требований в рамках процесса контроля реализации мер защиты информации (EПОК), рекомендуется рассчитывать по формуле:

<a id="p100106"></a> $\text{Е}_{\text{ПОК}} = \frac{\sum_{i}^{N} {}_{= 1}E_{\text{Ко}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Кп}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Кз}_{i}}}{3N} ,$ где:

<a id="p100107"></a>i - порядковый номер оцениваемых требований;
<a id="p100108"></a>N - общее количество требований;
<a id="p100109"></a> $E_{\text{Ко}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации по вопросу контроля области применения меры защиты информации;
<a id="p100110"></a> $E_{\text{Кп}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации по вопросу контроля надлежащего применения меры защиты информации;
<a id="p100111"></a> $E_{\text{Кз}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации по вопросу контроля знаний работников некредитной финансовой организации в части применения меры защиты информации.
<a id="p100112"></a>В рамках процесса контроля применения мер защиты информации оценку требований рекомендуется осуществлять по следующим вопросам:
<a id="p100113"></a>"Обеспечен ли контроль области применения меры защиты информации?";
<a id="p100114"></a>"Обеспечен ли контроль надлежащего применения меры защиты информации?";
<a id="p100115"></a>"Обеспечен ли контроль знаний работников некредитной финансовой организации в части применения меры защиты информации?".
<a id="p100116"></a>Оценку ответов на вопросы рекомендуется производить путем присвоения им следующих значений:
<a id="p100117"></a>1 - "да" ("контроль обеспечен");
<a id="p100118"></a>0 - "нет" ("контроль не обеспечен").
<a id="p100119"></a>3.6. Значение оценки, характеризующей выполнение требований в рамках процесса совершенствования применения мер защиты информации (EПОС), рекомендуется рассчитывать по формуле:

<a id="p100120"></a> $\text{Е}_{\text{ПОС}} = \frac{\sum_{i}^{N} {}_{= 1}E_{C\text{и}_{i}} + \sum_{i}^{N} {}_{= 1}E_{\text{Сн}_{i}}}{2N} ,$ где:

<a id="p100121"></a>i - порядковый номер оцениваемых требований;
<a id="p100122"></a>N - общее количество требований;
<a id="p100123"></a> $E_{C\text{и}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса совершенствования применения мер защиты информации по вопросу анализа необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации;
<a id="p100124"></a> $E_{\text{Сн}_{i}}$ - значение оценки i-й меры защиты информации, характеризующей выполнение требований в рамках процесса совершенствования применения мер защиты информации по вопросу анализа необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации.
<a id="p100125"></a>В рамках процесса совершенствования применения мер защиты информации оценку требований рекомендуется осуществлять по следующим вопросам:
<a id="p100126"></a>"Осуществляется ли анализ необходимости совершенствования меры защиты информации в случае обнаружения инцидентов защиты информации?";
<a id="p100127"></a>"Осуществляется ли анализ необходимости совершенствования меры защиты информации в случае обнаружения недостатков в рамках контроля применения мер защиты информации?".
<a id="p100128"></a>Оценку ответов на вопросы рекомендуется производить путем присвоения им следующих значений:
<a id="p100129"></a>1 - "да" ("анализ совершенствования осуществляется");
<a id="p100130"></a>0 - "нет" ("анализ совершенствования не осуществляется").
<a id="p100131"></a>3.7. Значение обобщающего показателя уровня оценки соответствия по направлению "Безопасность программного обеспечения" (EПО) рекомендуется рассчитывать по формуле:

<a id="p100132"></a>EПО = 0,2EПОП + 0,4EПОР + 0,25EПОК + 0,15EПОС, где:

<a id="p100133"></a>EПОП - значение оценки, характеризующей выполнение требований в рамках процесса планирования применения мер защиты информации, рассчитанное в соответствии с [пунктом 3.3](#p100082) настоящей главы;
<a id="p100134"></a>EПОР - значение оценки, характеризующей выполнение требований в рамках процесса реализации мер защиты информации, рассчитанное в соответствии с [пунктом 3.4](#p100094) настоящей главы;
<a id="p100135"></a>EПОК - значение оценки, характеризующей выполнение требований в рамках процесса контроля применения мер защиты информации, рассчитанное в соответствии с [пунктом 3.5](#p100105) настоящей главы;
<a id="p100136"></a>EПОС - значение оценки, характеризующей выполнение требований в рамках процесса совершенствования применения мер защиты информации, рассчитанное в соответствии с [пунктом 3.6](#p100119) настоящей главы.


### <a id="p100137"></a>Глава 4. Заключительные положения


<a id="p100138"></a>Настоящие Методические рекомендации подлежат размещению на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет".

<a id="p100139"></a>Заместитель Председателя Банка России
**Г.А.ЗУБАРЕВ**





<a id="p100140"></a>Приложение 1
к Методическим рекомендациям
по расчету значений показателей
оценки выполнения требований
к технологическим мерам защиты
информации и прикладному
программному обеспечению
автоматизированных систем
и приложений в целях составления
отчетности об оценке выполнения
требований к обеспечению защиты
информации некредитными финансовыми
организациями

<a id="p100141"></a>**ПЕРЕЧЕНЬ**
**ТРЕБОВАНИЙ К ТЕХНОЛОГИЧЕСКИМ МЕРАМ ЗАЩИТЫ ИНФОРМАЦИИ**
**ПО НАПРАВЛЕНИЮ "ТЕХНОЛОГИЧЕСКИЕ МЕРЫ"**

1. <a id="p100142"></a>Рекомендуемый перечень требований, установленных [Положением](https://bukva.ai/docs/757-p) Банка России от 20.04.2021 N 757-П "Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций" (далее - Положение Банка России N 757-П) в отношении некредитных финансовых организаций, выполнение которых оценивается при выборе соответствующего аналитического признака, характеризующего вид деятельности отчитывающейся организации <1>, приведен в [таблице 1.1](#p100145).

<a id="p100143"></a>

---

<a id="p100144"></a><1> Аналитические признаки, характеризующие вид деятельности отчитывающихся организаций, определены [пунктом 3](https://bukva.ai/docs/ukazanie-ukazaniya-6282-u#p118077) порядка и сроков составления отчетности по форме 0420433 "Сведения об оценке выполнения требований к обеспечению защиты информации профессиональными участниками рынка ценных бумаг, организаторами торговли, клиринговыми организациями", [пунктом 3](https://bukva.ai/docs/ukazanie-ukazaniya-6315-u#p139477) порядка и сроков составления отчетности по форме 0420175 "Сведения об оценке выполнения требований к обеспечению защиты информации страховой организацией", [пунктом 3](https://bukva.ai/docs/ukazanie-ukazaniya-6269-u#p110295) порядка и сроков составления отчетности по форме 0420266 "Сведения об оценке выполнения требований к обеспечению защиты информации негосударственным пенсионным фондом", [пунктом 3](https://bukva.ai/docs/ukazanie-ukazaniya-6243-u#p102638) порядка составления отчетности (отчета) по форме 0420722 "Сведения об оценке выполнения требований к обеспечению защиты информации оператором инвестиционной платформы, оператором финансовой платформы, оператором информационной системы, в которой осуществляется выпуск цифровых финансовых активов, и оператором обмена цифровых финансовых активов".

<a id="p100145"></a>Таблица 1.1


<table>
<colgroup><col width="8%"><col width="92%"></colgroup>
<tr><td><a id="p100146"></a>N п/п</td><td><a id="p100147"></a>Требования к технологическим мерам защиты информации</td></tr>
<tr><td colspan="2"><a id="p100148"></a>Общие требования к обеспечению защиты информации</td></tr>
<tr><td><a id="p100149"></a>1</td><td><a id="p100150"></a>Требование <a href="https://bukva.ai/docs/757-p#p100074">подпункта 1.10.1 пункта 1.10</a></td></tr>
<tr><td colspan="2"><a id="p100151"></a>Требования к обеспечению защиты информации, применяемые на технологическом участке идентификации, аутентификации и авторизации клиентов некредитных финансовых организаций в целях осуществления финансовых операций</td></tr>
<tr><td><a id="p100152"></a>2</td><td><a id="p100153"></a>Требование <a href="https://bukva.ai/docs/757-p#p100076">абзаца второго подпункта 1.10.2 пункта 1.10</a></td></tr>
<tr><td><a id="p100154"></a>3</td><td><a id="p100155"></a>Требование <a href="https://bukva.ai/docs/757-p#p100077">абзаца третьего подпункта 1.10.2 пункта 1.10</a></td></tr>
<tr><td colspan="2"><a id="p100156"></a>Требования к обеспечению защиты информации, применяемые на технологическом участке формирования (подготовки), передачи и приема электронных сообщений</td></tr>
<tr><td><a id="p100157"></a>4</td><td><a id="p100158"></a>Требование <a href="https://bukva.ai/docs/757-p#p100079">абзаца второго подпункта 1.10.3 пункта 1.10</a></td></tr>
<tr><td><a id="p100159"></a>5</td><td><a id="p100160"></a>Требование <a href="https://bukva.ai/docs/757-p#p100080">абзаца третьего подпункта 1.10.3 пункта 1.10</a></td></tr>
<tr><td><a id="p100161"></a>6</td><td><a id="p100162"></a>Требование <a href="https://bukva.ai/docs/757-p#p100081">абзаца четвертого подпункта 1.10.3 пункта 1.10</a></td></tr>
<tr><td><a id="p100163"></a>7</td><td><a id="p100164"></a>Требование <a href="https://bukva.ai/docs/757-p#p100082">абзаца пятого подпункта 1.10.3 пункта 1.10</a></td></tr>
<tr><td><a id="p100165"></a>8</td><td><a id="p100166"></a>Требование <a href="https://bukva.ai/docs/757-p#p100083">абзаца шестого подпункта 1.10.3 пункта 1.10</a></td></tr>
<tr><td colspan="2"><a id="p100167"></a>Требования к обеспечению защиты информации, применяемые на технологическом участке удостоверения права клиентов некредитных финансовых организаций распоряжаться денежными средствами, ценными бумагами или иным имуществом</td></tr>
<tr><td><a id="p100168"></a>9</td><td><a id="p100169"></a>Требование <a href="https://bukva.ai/docs/757-p#p100085">абзаца второго подпункта 1.10.4 пункта 1.10</a></td></tr>
<tr><td><a id="p100170"></a>10</td><td><a id="p100171"></a>Требование <a href="https://bukva.ai/docs/757-p#p100086">абзаца третьего подпункта 1.10.4 пункта 1.10</a></td></tr>
<tr><td colspan="2"><a id="p100172"></a>Требования к обеспечению защиты информации, применяемые на технологическом участке осуществления финансовой операции, учета результатов ее осуществления (при наличии учета)</td></tr>
<tr><td><a id="p100173"></a>11</td><td><a id="p100174"></a>Требование <a href="https://bukva.ai/docs/757-p#p100088">абзаца второго подпункта 1.10.5 пункта 1.10</a></td></tr>
<tr><td><a id="p100175"></a>12</td><td><a id="p100176"></a>Требование <a href="https://bukva.ai/docs/757-p#p100089">абзаца третьего подпункта 1.10.5 пункта 1.10</a></td></tr>
<tr><td><a id="p100177"></a>13</td><td><a id="p100178"></a>Требование <a href="https://bukva.ai/docs/757-p#p100090">абзаца четвертого подпункта 1.10.5 пункта 1.10</a></td></tr>
<tr><td><a id="p100179"></a>14</td><td><a id="p100180"></a>Требование <a href="https://bukva.ai/docs/757-p#p100091">абзаца пятого подпункта 1.10.5 пункта 1.10</a></td></tr>
</table>


2. <a id="p100181"></a>Рекомендуемый перечень дополнительных требований, установленных [Положением](https://bukva.ai/docs/757-p) Банка России N 757-П в отношении некредитных финансовых организаций, являющихся операторами финансовой платформы, приведен в таблице 1.2.

<a id="p100182"></a>Таблица 1.2


| <a id="p100183"></a>N п/п | <a id="p100184"></a>Требования к технологическим мерам защиты информации |
| --- | --- |
| <a id="p100185"></a>1 | <a id="p100186"></a>Требование [абзаца второго подпункта 2.2.1 пункта 2.2](https://bukva.ai/docs/757-p#p100125) |
| <a id="p100187"></a>2 | <a id="p100188"></a>Требование [абзаца третьего подпункта 2.2.1 пункта 2.2](https://bukva.ai/docs/757-p#p100126) |
| <a id="p100189"></a>3 | <a id="p100190"></a>Требование [абзаца четвертого подпункта 2.2.1 пункта 2.2](https://bukva.ai/docs/757-p#p100127) |
| <a id="p100191"></a>4 | <a id="p100192"></a>Требование [абзаца пятого подпункта 2.2.1 пункта 2.2](https://bukva.ai/docs/757-p#p100128) |
| <a id="p100193"></a>5 | <a id="p100194"></a>Требование [подпункта 2.2.2 пункта 2.2](https://bukva.ai/docs/757-p#p100129) |
| <a id="p100195"></a>6 | <a id="p100196"></a>Требование [пункта 2.3](https://bukva.ai/docs/757-p#p100130) |


3. <a id="p100197"></a>Рекомендуемый перечень дополнительных требований, установленных [Положением](https://bukva.ai/docs/757-p) Банка России N 757-П в отношении некредитных финансовых организаций, являющихся операторами информационной системы, в которых осуществляется выпуск цифровых финансовых активов, операторами обмена цифровых финансовых активов, приведен в таблице 1.3.

<a id="p100198"></a>Таблица 1.3


| <a id="p100199"></a>N п/п | <a id="p100200"></a>Требования к технологическим мерам защиты информации |
| --- | --- |
| <a id="p100201"></a>1 | <a id="p100202"></a>Требование [абзаца второго пункта 3.2](https://bukva.ai/docs/757-p#p100138) |
| <a id="p100203"></a>2 | <a id="p100204"></a>Требование [абзаца третьего пункта 3.2](https://bukva.ai/docs/757-p#p100139) |
| <a id="p100205"></a>3 | <a id="p100206"></a>Требование [абзаца четвертого пункта 3.2](https://bukva.ai/docs/757-p#p100140) |
| <a id="p100207"></a>4 | <a id="p100208"></a>Требование [абзаца пятого пункта 3.2](https://bukva.ai/docs/757-p#p100141) |
| <a id="p100209"></a>5 | <a id="p100210"></a>Требование [абзаца шестого пункта 3.2](https://bukva.ai/docs/757-p#p100142) |
| <a id="p100211"></a>6 | <a id="p100212"></a>Требование [абзаца седьмого пункта 3.2](https://bukva.ai/docs/757-p#p100143) |
| <a id="p100213"></a>7 | <a id="p100214"></a>Требование [абзаца восьмого пункта 3.2](https://bukva.ai/docs/757-p#p100144) |
| <a id="p100215"></a>8 | <a id="p100216"></a>Требование [абзаца девятого пункта 3.2](https://bukva.ai/docs/757-p#p100145) |
| <a id="p100217"></a>9 | <a id="p100218"></a>Требование [абзаца второго пункта 3.3](https://bukva.ai/docs/757-p#p100147) |
| <a id="p100219"></a>10 | <a id="p100220"></a>Требование [абзаца третьего пункта 3.3](https://bukva.ai/docs/757-p#p100148) |
| <a id="p100221"></a>11 | <a id="p100222"></a>Требование [абзаца четвертого пункта 3.3](https://bukva.ai/docs/757-p#p100149) (до дня вступления указанного [абзаца](https://bukva.ai/docs/757-p#p100149) в силу может не учитываться при оценке выполнения требования) |






<a id="p100223"></a>Приложение 2
к Методическим рекомендациям
по расчету значений показателей
оценки выполнения требований
к технологическим мерам защиты
информации и прикладному
программному обеспечению
автоматизированных систем
и приложений в целях составления
отчетности об оценке выполнения
требований к обеспечению защиты
информации некредитными финансовыми
организациями

<a id="p100224"></a>**ПЕРЕЧЕНЬ**
**ТРЕБОВАНИЙ К ПРИКЛАДНОМУ ПРОГРАММНОМУ ОБЕСПЕЧЕНИЮ**
**АВТОМАТИЗИРОВАННЫХ СИСТЕМ И ПРИЛОЖЕНИЙ ПО НАПРАВЛЕНИЮ**
**"БЕЗОПАСНОСТЬ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ"**

<a id="p100225"></a>Рекомендуемый перечень требований, установленных [Положением](https://bukva.ai/docs/757-p) Банка России N 757-П в отношении некредитных финансовых организаций, выполнение которых оценивается при выборе соответствующего аналитического признака, характеризующего вид деятельности отчитывающейся организации <2>, приведен в [таблице 2.1](#p100228).

<a id="p100226"></a>

---

<a id="p100227"></a><2> Аналитические признаки, характеризующие вид деятельности отчитывающихся организаций, определены [пунктом 4](https://bukva.ai/docs/ukazanie-ukazaniya-6282-u#p118101) порядка и сроков составления отчетности по форме 0420433 "Сведения об оценке выполнения требований к обеспечению защиты информации профессиональными участниками рынка ценных бумаг, организаторами торговли, клиринговыми организациями", [пунктом 4](https://bukva.ai/docs/ukazanie-ukazaniya-6315-u#p139483) порядка и сроков составления отчетности по форме 0420175 "Сведения об оценке выполнения требований к обеспечению защиты информации страховой организацией", [пунктом 4](https://bukva.ai/docs/ukazanie-ukazaniya-6269-u#p110301) порядка и сроков составления отчетности по форме 0420266 "Сведения об оценке выполнения требований к обеспечению защиты информации негосударственным пенсионным фондом", [пунктом 4](https://bukva.ai/docs/ukazanie-ukazaniya-6243-u#p102644) порядка составления отчетности (отчета) по форме 0420722 "Сведения об оценке выполнения требований к обеспечению защиты информации оператором инвестиционной платформы, оператором финансовой платформы, оператором информационной системы, в которой осуществляется выпуск цифровых финансовых активов, и оператором обмена цифровых финансовых активов".

<a id="p100228"></a>Таблица 2.1


| <a id="p100229"></a>N п/п | <a id="p100230"></a>Требования к прикладному программному обеспечению автоматизированных систем и приложений |
| --- | --- |
| <a id="p100231"></a>1 | <a id="p100232"></a>Требование [пункта 1.8](https://bukva.ai/docs/757-p#p100063) (в отношении прикладного программного обеспечения автоматизированных систем и приложений, распространяемых некредитными финансовыми организациями своим клиентам для совершения действий в целях осуществления финансовых операций) |
| <a id="p100233"></a>2 | <a id="p100234"></a>Требование [пункта 1.8](https://bukva.ai/docs/757-p#p100063) (в отношении программного обеспечения, обрабатывающего защищаемую информацию при приеме электронных сообщений к исполнению в автоматизированных системах и приложениях с использованием информационно-телекоммуникационной сети "Интернет") |




<a id="p100235"></a>

---