Аудит / Учебный курс

h1. ГОСТ 57580

{{TOC}}

!clipboard-202312131112-jiwef.png!

---

Национальные стандарты ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер» и ГОСТ Р 57580.2-2018 «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Методика оценки соответствия», разработанные в 2017-2018 г., послужили логическим продолжением многолетней деятельности Банка России в сфере обеспечения информационной безопасности.

ГОСТ Р 57580.1-2017 определяет базовый состав организационных и технических мер, которые должны выполняться финансовыми организациями (кредитными организациями, некредитными финансовыми организациями, участниками Национальной платежной системы, участниками Единой биометрической системы), ГОСТ Р 57580.2-2018 – методику проведения оценки соответствия, требования к предоставлению отчетности в ЦБ РФ по итогам проведения аудита, формулы расчета уровня соответствия. ГОСТ Р 57580.2-2018 предназначен для использования юридическими лицами, осуществляющими оценку соответствия.

Требование обеспечения уровня защиты информации в соответствии с ГОСТ 57580.1-2017 включено в Положения Банка России №683-П, №757-П, №747-П, №719-П.

---

h2.  Уровень защиты информации по ГОСТ 57580

Данный ГОСТ выделяет *три уровня* защиты информации: *минимальный*, *стандартный* и *усиленный*.

В финансовой организации формируются контуры безопасности, для которых может быть установлен разный *уровень защиты информации*.

Вышеуказанный уровень для каждого конкретного контура безопасности устанавливается нормативными актами Центрального Банка России.

Требования к уровню безопасности устанавливаются на основе оценки следующих параметров организации: *вида деятельности организации*, *объема финансовых операций*, *категории* (размера) организации и *значимости* конкретной организации для финансового рынка и национальной платежной системы в целом.

---

h2. Основные меры для финансовых организаций

В пункте 6.1 стандарта обозначена необходимость обеспечить:

* *идентификацию и учет объектов информатизации*, в том числе автоматизированных систем, включаемых в область применения настоящего стандарта в соответствии с требованиями нормативных актов Центрального Банка России, устанавливающих обязательность применения его положений

* применение на различных уровнях информационной инфраструктуры выбранных финансовой организацией *мер защиты информации*, направленных на непосредственное обеспечение защиты информации и входящих в систему защиты информации

* применение выбранных финансовой организацией мер защиты информации, обеспечивающих *приемлемые для финансовой организации полноту и качество защиты информации*, входящих в систему организации и управления защитой информации

* применение выбранных финансовой организацией мер защиты информации, направленных на *обеспечение защиты информации на всех стадиях жизненного цикла* автоматизированной системы и приложений

* *оценку остаточного операционного риска* (финансового эквивалента возможных потерь), вызванного неполным или некачественным выбором и применением мер защиты информации и обработку указанного риска в соответствии с процедурой, определенной требованиями нормативных актов Центрального Банка России

Так же в рассматриваемом стандарте упоминается, что, в случае невозможности технической реализации отдельных выбранных мероприятий по защите информации, а также с учетом экономической целесообразности на этапах уточнения базового состава мероприятий могут разрабатываться иные компенсирующие меры.

Данные меры направлены на нейтрализацию угроз безопасности информации, определенных в *модели угроз*, и нарушителей безопасности информации финансовой организации.

Основой для реализации *правильного и эффективного способа минимизации* возможных финансово неприемлемых для вышеупомянутой организации операционных рисков, связанных *с нарушением безопасности* информации, являются принятые и контролируемые руководством финансовой организации документы.

ГОСТ 57580 регламентирует определенные требования к системе защиты информации и базовому составу мер по ее обеспечению, таких как:

{{collapse(Процесс 1: Обеспечение защиты информации при управлении доступом)

* Подпроцесс: Управление учетными записями и правами субъектов логического доступа.

* Подпроцесс: Идентификация, аутентификация, авторизация (разграничение доступа) при осуществлении логического доступа.

* Подпроцесс: Защита информации при осуществлении физического доступа.

* Подпроцесс: Идентификация и учет ресурсов и объектов доступа.

}}

{{collapse(Процесс 2: Обеспечение защиты вычислительных сетей)

* Подпроцесс: Сегментация и межсетевое экранирование вычислительных сетей.

* Подпроцесс: Выявление вторжений и сетевых атак.

* Подпроцесс: Защита информации, передаваемой по вычислительным сетям.

* Подпроцесс: Защита беспроводных сетей.

}}

{{collapse(Процесс 3: Контроль целостности и защищенности информационной инфраструктуры)

* Не содержит подпроцессов.

}}

{{collapse(Процесс 4: Защита от вредоносного кода)

* Не содержит подпроцессов.

}}

{{collapse(Процесс 5: Предотвращение утечек информации)

* Не содержит подпроцессов.

}}

{{collapse(Процесс 6: Управление инцидентами защиты информации)

* Подпроцесс: Мониторинг и анализ событий защиты информации.

* Подпроцесс: Обнаружение инцидентов защиты информации и реагирование на них.

}}

{{collapse(Процесс 7: Защита среды виртуализации)

* Не содержит подпроцессов.

}}

{{collapse(Процесс 8: Защита информации при осуществлении удаленного логического доступа с использованием мобильных переносных устройств)

* Не содержит подпроцессов.

}}

{{collapse(Раздел 8. Требования к организации и управлению защитой информации)

Каждая мера применяется к каждому из 8 процессов:

* базовый состав мер планирования процесса системы защиты информации.

* базовый состав мер по реализации процесса системы защиты информации.

* базовый состав мер контроля процесса системы защиты информации.

* базовый состав мер по совершенствованию процесса системы защиты информации.

требования к защите информации на этапах жизненного цикла автоматизированных систем и приложений.

}}

---

h2. Область применения ГОСТ 57580 

Данный стандарт разработан с целью *развития и укрепления банковской системы* Российской федерации, развитие и обеспечение стабильности национальной платежной системы. Одним из обязательных условий является обеспечение необходимого и достаточного уровня защиты информации.

---

h2. Каковы основные положения ГОСТ 57580?

Деятельности любой финансовой организации свойственен операционный риск, связанный с нарушением безопасности информации. Данный риск является объективной реальностью, устранить его не представляется возможным на данный момент времени.

Понизить же вышеупомянутый риск можно лишь до определенного остаточного уровня. Для управления операционным риском, связанным с безопасностью информации, финансовой организации необходимо обеспечить ряд определенных мер по защите данной информации.

Основными целями  стандарта являются:

* *определение уровней защиты* информации и соответствующих им требований к содержанию базового состава организационных и технических мер защиты информации, применяемых финансовыми организациями для реализации *требований к обеспечению защиты информации*, установленных нормативными актами Центрального Банка России

* достижение адекватности *состава и содержания мер защиты информации*, применяемых финансовыми организациями, актуальным угрозам безопасности информации и уровню принятого финансовой организацией операционного риска

* обеспечение эффективности и возможности *стандартизированного контроля мероприятий по защите информации*, проводимых финансовыми организациями

---

---

Для каждого из трех уровней защиты требование выполняется указанным способом:

• “Н” – реализация является необязательной;

• “О” – реализация путем применения организационной меры;

• “Т” – реализация путем применения технической меры.

Состав мер защиты может адаптироваться.

{{collapse(Пример требований)

|_.Мера защиты|_.Содержание мер системы защиты|_.УЗ3|_.УЗ 2|_.УЗ 1|

|УЗП.6|Назначение для всех ресурсов доступа распорядителя логического доступа (владельца ресурса доступа)|О|О|О|

|РД.12|Запрет множественной аутентификации с использованием одной учетной записи путем открытия параллельных сессий с разных АРМ|Н|Т|Т|

|ФД.6|Назначение для всех помещений распорядителя физического доступа|О|О|

|ВСА.9|Блокирование атак типа “Отказ в обслуживании” в масштабе времени, близком к реальному|Н|Т|Т|

|ЗБС.1|Аутентификация устройств доступа точками доступа по протоколу Wi-Fi|Т|Т|Т|

|ЦЗИ.16

|Обеспечение возможности восстановления эталонных копий ПО АС, ПО средств и систем ЗИ, системного ПО в случае нештатных ситуаций|О|О|О|

|ЗВК.13|Использование средств защиты от вредоносного кода различных производителей как минимумдля уровней АРМ и серверов|Т|Н|Н|

|ЗВК.14|Использование средств защиты от ВК различных производителей как минимумдля уровней АРМ, серверов и контроля трафика|Н|Т|Т|

|ПУИ.3|Блокирование неразрешенной и анализ разрешенной печати информации конфиденциального характера|Н|Т|Т|

|РИ.9|Выделение в составе ГРИЗИ следующих основных ролей: руководитель, оператор-диспетчер, аналитик, секретарь|Н|О|О|

|ЗСВ.27|Запрет на копирование текущих образов виртуальных машин, использующих СКЗИ, с загруженными криптоключами|О|О|О|

|ЗУД.3|Предоставление удаленного доступа только с использованием мобильных устройств доступа, находящихся под контролем MDM|Н|Т|Т|

|ЗУД.11|Обеспечение защиты мобильных устройств от воздействий ВК|Т|Т|Т|

}}