Аудит на соответствие требованиям ГОСТ Р 57580.1-2017, 716-П, 757-П, 787-П, 779-П

Организации, реализующие усиленный и стандартный уровень защиты информации, должны обеспечивать определенный уровень соответствия ГОСТ Р 57580.1-2017.

• Угроза хищения денежных средств организации или ее клиентов
• Угроза приостановки деятельности организации, что может привести к финансовым и репутационным потерям
• Угроза санкций со стороны регуляторов вплоть до отзыва лицензии на финансовую деятельность
• Повышенные риски реализации кибератак

Состав работ:

1. Предварительная оценка соответствия требованиям ГОСТ Р 57580.1-2017, Положений ЦБ (683-П, 719-П, 802-П, 757-П), рекомендации по устранению несоответствий
2. Моделирование угроз безопасности информации
3. Разработка/актуализация комплекта организационно-распорядительной документации ГОСТ Р 57580.1-2017, Положений ЦБ (683-П, 719-П, 802-П, 757-П)
4. Итоговая оценка соответствия требованиям ГОСТ Р 57580.1-2017, Положений ЦБ (683-П, 719-П, 802-П, 757-П)

Результаты работ:

• Заключения по результатам предварительной оценки по требованиям ГОСТ Р 57580.1-2017, Положений ЦБ (683-П, 719-П, 802-П, 757-П) с рекомендациями по устранению несоответствий
• Модель угроз безопасности информации, декларация выбора состава мер защиты данных
• Комплект организационно-распорядительной документации по требованиям ГОСТ Р 57580.1-2017, Положений ЦБ (683-П, 719-П, 802-П, 757-П)
• Отчеты об аудите по требованиям ГОСТ Р 57580.1-2017, Положений ЦБ (683-П, 719-П, 802-П, 757-П) с рекомендациями по совершенствованию системы защиты информации
• Данные для заполнения отчетной формы 0409071 согласно методическим рекомендациям ЦБ № 12-МР от 02.11.2022, отчетных форм 0420175/0420433/0420266 и иных аналогичных форм

• ISO/IEC 27001:2013. Information technology. Security techniques. Information security management systems. Requirements
• ISO/IEC 27005:2011. Information technology. Security techniques. Information security risk management. Second Edition
• Рекомендации Банка России РС БР ИББС-2.2-2009 «Обеспечение информационной безопасности организации банковской системы Российской Федерации. Методика оценки рисков нарушения информационной безопасности».

1. Идентификация информационных активов (сбор сведений)
2. Идентификация действующих защитных мер
3. Идентификация угроз ИБ и оценка вероятности их реализации
4. Оценка рисков нарушения ИБ

Результат работ:

• Реестр информационных активов с оценкой их ценности для деятельности компании
• Перечень угроз ИБ и оценка вероятности их реализации
• Перечень выявленных рисков ИБ и оценка их допустимости
• Состав организационных и технических мер обеспечения ИБ, используемых средств защиты

Операционные риски:

• Риск информационной безопасности и информационных систем
• Правовой риск
• Риск ошибок в управлении проектами и управленческих процессах
• Риск потерь средств клиентов, контрагентов, работников и третьих лиц
• Риск ошибок процесса управления персоналом и др.

1. Идентификация угроз ИБ и оценка вероятности их реализации
2. Оценка рисков нарушения ИБ
3. Аудит по требованиям Положения 716-П
4. Анализ рисков информационной безопасности
5. Разработка/актуализация комплекта организационно-распорядительной документации

• Перечень угроз ИБ и оценка, вероятности их реализации (категории актуальных нарушителей ИБ, их цели и возможности)
• Отчет об аудите по требованиям Положения 716-П
• Методика анализа рисков ИБ, отчет об анализе рисков ИБ
• Комплект организационно- распорядительной документации

• Выявление процессов предоставления финансовых услуг, их составляющих, используемой инфраструктуры
• Разработка процедур управления ОН и рисками ОН
• Разработка процедур восстановления процессов предоставления финансовых услуг при сбоях

1. Аудит по требованиям Положения 787-П/779-П
2. Анализ рисков информационной безопасности, включая риски операционной надежности
3. Разработка/актуализация комплекта организационно-распорядительной документации

• Отчет об аудите по требованиям Положения 787-П/779-П
• Методика анализа рисков ИБ, отчет об анализе рисков ИБ
• Комплект организационно-распорядительной документации

Целью работ является аудит процессов обеспечения информационной безопасности системы SWIFT по требованиям Концепции и разработка рекомендаций по устранению выявленных нарушений или повышения соответствия требованиям Концепции (в случае рекомендательных требований).

1. Аудит по требованиям SWIFT Customer Security Controls Framework
2. Обследование бизнес-процессов, IT-инфраструктуры и действующих мер по обеспечению защиты информации при осуществлении переводов денежных средств в системе SWIFT
3.  Оценка соответствия процессов обеспечения защиты информации при осуществлении переводов денежных средств в системе SWIFT требованиям Концепции
4. Разработка рекомендаций по устранению выявленных нарушений или повышения соответствия требованиям Концепции (в случае рекомендательных требований)
5. Разработка/актуализация комплекта организационно-распорядительной документации

• Отчет об аудите по требованиям SWIFT Customer Security Controls Framework
• Комплект организационно-распорядительной документации