Оценка соответствия 757‑П для НФО

Главный вызов — распределённые каналы продаж и обслуживания: клиентские и агентские кабинеты, партнёрские интеграции, урегулирование убытков, обмен данными с медицинскими организациями, автосервисами, оценщиками и другими контрагентами. Разбираемся, кто имеет доступ к страховым делам, какие формируются выгрузки, как фиксируются действия агентов и сотрудников, как контролируется передача защищаемой информации третьим лицам.

В центре внимания — быстрый дистанционный цикл выдачи займа: заявка, идентификация, скоринг, запросы в БКИ, антифрод, подписание договора, выдача средств и приём платежей. Смотрим, насколько контролируются API, внешние сервисы, ручные корректировки решений, действия сотрудников с заявками, платёжные статусы и логи клиентского пути.

Главное — надёжность долгосрочного учёта и хранения пенсионной информации. Проверяем, где хранятся пенсионные данные, кто имеет к ним доступ, как фиксируются изменения, как контролируются архивы, исторические системы, ручные выгрузки, миграции данных, резервное копирование и восстановление.

В приоритете — операционная дисциплина, целостность учётных данных и доказуемость операций с ценными бумагами. Смотрим приём и исполнение поручений, проверку полномочий, учёт прав, сверки, взаимодействие с НРД и участниками рынка, использование ЭП/СКЗИ, контроль изменений и привилегированного доступа.

Ключевое — доказуемость клиентских поручений и финансово значимых действий. Для 757-П восстанавливаем всю цепочку: клиент вошёл в ЛК, мобильное приложение, терминал или API, сформировал поручение, подтвердил действие, система проверила ограничения, операция исполнена, результат отражён в учёте, а ключевые события сохранены в журналах.

Здесь фокус не на массовых онлайн-каналах, а на процессном контроле инвестиционных решений. Проверяем согласование операций, разделение полномочий, контроль инвестиционных ограничений, направление поручений брокерам, депозитариям и спецдепозитариям, хранение подтверждающих материалов и журналирование действий ответственных лиц.

Подход всегда подбираем под конкретную модель деятельности. Определяем, какие финансовые операции выполняются, какие технологические участки и ИС задействованы, где возникает защищаемая информация, какие электронные сообщения формируются, где используются ЭП и СКЗИ, какие подрядчики подключены и какие доказательства выполнения требований уже есть.

Определяем, какие требования 757-П применимы именно к вашей организации с учётом статуса, вида деятельности, уровня защиты информации, наличия дистанционных каналов, финансовых операций, электронных сообщений, СКЗИ, ЭП, ЕСИА/ЕБС, СБП, СПФС, SWIFT и внешних интеграций.

Проверяем наличие и актуальность документов, описывающих систему защиты информации: политики, положения, модель угроз, регламенты управления доступом, инцидентами, уязвимостями, изменениями, СКЗИ, электронной подписью, журналированием и взаимодействием с третьими лицами.

Разбираемся, как в компании распределены роли и ответственность: кто владеет процессами, кто отвечает за ИБ, ИТ, технологические участки, инциденты, доступы, электронные сообщения, взаимодействие с Банком России и внешними участниками.

Смотрим, как реализованы меры защиты на уровне систем и инфраструктуры: управление доступом, MFA, сегментация сети, защита API и внешнего периметра, СЗИ, СКЗИ, ЭП, логирование, мониторинг, резервное копирование, защита от вредоносного кода, DLP, защита виртуализации и удалённого доступа.

Проверяем не только документы, но и реальные свидетельства: выгрузки прав доступа, журналы событий, скриншоты настроек, отчёты пентестов и сканирований, карточки инцидентов, заявки на доступ, результаты пересмотра прав, схемы архитектуры, сертификаты СКЗИ, договоры с подрядчиками.

Выясняем, понятно ли в компании, кто отвечает за выполнение требований 757-П: владелец процесса, владелец системы, ИБ, ИТ, эксплуатация, разработка, администраторы, подразделение рисков, ответственные за инциденты и взаимодействие с Банком России.

Анализируем, какие внешние организации участвуют в оказании финансовой услуги и обработке защищаемой информации: ЦОД, облачные провайдеры, разработчики, интеграторы, банки, РФТ, платёжные сервисы, провайдеры идентификации, СМС/email/push-сервисы, подрядчики по ИБ и ИТ.