Положение Банка России №757-П вместо 684-П

Главная / Положение Банка России №757-П вместо 684-П

Положение Банка России № 757-П от 22 июня 2021 г. заменяет Положение № 684-П

«Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций»

Документ полностью изменил свою структуру, теперь он состоит из 4 глав. 1 и 4 главы практически идентичны тексту Положения №684-П, 2 и 3 главы являются нововведением для некредитных финансовых организаций.

Одно из самых существенных изменений в Положении 757-П – изменение перечня некредитных финансовых организаций, выполняющих требования усиленного и стандартного уровня защиты информации. Дополнительно, теперь предъявляются требования к организациям, выполняющим минимальный уровень защиты информации.

Что нового?

1. Определение уровня защиты информации должно осуществляться некредитной финансовой организацией ежегодно не позднее десятого рабочего дня календарного года определения уровня защиты информации. В Положении № 684-П определение уровня защиты информации должно было производится не позднее первого рабочего дня календарного года.

2. Расширился список организаций, которые должны соблюдать требования ГОСТ Р. 57580.1-2017 соответствующие усиленному уровню защиты информации. К имеющимся в Положении № 684-П (центральные контрагенты, центральный депозитарий) добавились Регистраторы Финансовых транзакций.

3. Расширился список организаций, которые должны соблюдать требования ГОСТ Р. 57580.1-2017 соответствующие стандартному уровню защиты информации.

Изменения

Специализированные депозитарии ИФ, ПИФ и НПФ, размер активов которых превышает 1 трлн. рублей
Репозитарии, не являющиеся регистраторами финансовых транзакций
Брокеры, дилеры, управляющие, депозитарии и регистраторы, для которых определены условия, указанные в Положении 481-П
Остальных НФО, «пришедших» из 684-П, изменения которых не коснулись

Новый перечень НФО:

Оператор инвестиционной платформы (во 2-4 квартал обслужили более 100 000 лиц)
Оператор финансовой платформы (во 2-4 квартал обслужили более 100 000 лиц)
Оператор информационных систем, которые выпускают ЦФА (во 2-4 квартал обслужили более 25 000 лиц)
Оператор обмена ЦФА (во 2-4 квартал обслужили более 25 000 лиц)

4. Добавился список организаций, которые должны соблюдать требования ГОСТ Р. 57580.1-2017 соответствующие минимальному уровню защиты информации. В Положении № 684-П «минимальный» уровень вообще не упоминался, и решение о выполнении требований ГОСТ Р 57580.1-2017 организациям не попадающим под усиленный и стандартный уровни, организации должны были принимать самостоятельно.

Специализированные депозитарии ИФ, ПИФ и НПФ, стоимость активов которых менее 1 трл. рублей
Брокеры, дилеры, управляющие, депозитарии и регистраторы, не попадающие под условия соответствия Стандартному уровню
Управляющие компании ИФ, паевых ИФ и НПФ
Форекс-дилеры
Операторы финансовой платформы, которым не нужно соответствовать Стандартному уровню
Операторы информационных систем, выпускающих ЦФА, которым не нужно соответствовать Стандартному уровню
Оператор обмена ЦФА, которым не нужно соответствовать Стандартному уровню
Страховые организации, не попадающие под условия соответствия Стандартному уровню
Общества взаимного страхования
Страховые брокеры

5. Изменились требования к прикладному программному обеспечению. Анализ уязвимостей по ОУД 4 заменен на оценку соответствия по ОУД 4.

6. Некредитные финансовые организации, реализующие усиленный, стандартный и минимальный уровни защиты информации, должны в соответствии со своими внутренними документами осуществлять регистрацию инцидентов защиты информации. В Положении № 684-П данное требование распространялось на организации, реализующие стандартный и усиленный уровень защиты информации.

7. Некредитные финансовые организации, реализующие усиленный, стандартный и минимальный уровни защиты информации, должны обеспечивать доведение до своих клиентов рекомендаций по защите информации от воздействия программных кодов, приводящего к нарушению штатного функционирования средства вычислительной техники (далее — вредоносный код), в целях противодействия незаконным финансовым операциям. В положении № 684-П распространялось абсолютно на все некредитные финансовые операции.

С 01 июля 2021 года Положение 757-П вступает в силу, а Положение 684-П признается утратившим силу.

Напишите нам, чтобы получить консультацию по вопросам Положения №757-П и мы свяжемся с Вами!

Преимущества нашей компании

Наша компания обладает необходимой лицензией по технической защите конфиденциальной информации для проведения работ от Федеральной службы по техническому и экспортному контролю.
В нашей компании работают два специалиста, сертифицированных по программе «Введение, внедрение и оценка соответствия финансовых организаций ГОСТ Р 57589 «Безопасность финансовых (банковских) операций», подготовленной разработчиками стандарта
Наши специалисты получили опыт, успешно реализовав проекты в нескольких крупных банках, доведя оценку до необходимого третьего уровня.

ЭТАПЫ ПРОЕКТА

1 Этап

Определение области оценки соответствия и согласование плана оценки

2 Этап

Удаленная проверка организационно-распорядительной документации заказчика на соответствие требованиям Положения и ГОСТ 57580

3 Этап

Оценка соответствия на месте, включающая: анализ конфигураций информационных систем и оборудования,
используемых технических и организационных мер защиты информации, интервью с ответственными сотрудниками, сбор свидетельств аудита.

4 Этап

Подготовка предварительной версии отчетной документации и рекомендаций по обеспечению организацией необходимого уровня защищенности

5 Этап

Доработка заказчиком несоответствий

6 Этап

Подтверждение устранения несоответствий, разработка итоговой отчетной документации в соответствии с требованиями Банка России

РЕЗУЛЬТАТЫ ПРОЕКТА

По результатам выполненных работ будут подготовлены следующие отчётные материалы:

отчет о предварительной оценке соответствия требованиям ГОСТ Р 57580.1 – 2017
рекомендации по повышению уровня защищенности и общей оценки
отчет об оценке соответствия требованиям ГОСТ Р 57580.1-2017 и Положения № 757-П , включающий

— сведения о проверяющей организации;

— сведения о руководителе и членах проверяющей группы;

— сведения о проверяемой организации;

— сведения о заказчике оценки соответствия ЗИ;

— цель оценки соответствия ЗИ;

— сроки проведения оценки соответствия ЗИ;