Операционная надежность и непрерывность в финансовом контуре
Оценка соответствия 779-П для НПФ, ЦФА
Кому релевантно
В полном объеме требования распространяются на НФО, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты по 757-П:
- профессиональных участников рынка ценных бумаг;
- центральный депозитарий и регистраторов финансовых транзакций;
- управляющие компании и специализированные депозитарии фондов;
- клиринговые организации и центральных контрагентов;
- организаторов торговли и репозитарии;
- субъектов страхового дела и НПФ;
- операторов инвестиционных и финансовых платформ;
- операторов информационных систем ЦФА и операторов обмена ЦФА.
Для остальных НФО
Действует сокращенный режим по пункту 1.16: не реже одного раза в три года анализировать необходимость установления показателей операционной надежности, документировать решение и контролировать установленные показатели. Для операторов цифровых финансовых активов (ЦФА) дополнительно применяются специальные требования главы 2.
Кому релевантно
В полном объеме требования распространяются на НФО, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты по 757-П:
- профессиональных участников рынка ценных бумаг;
- центральный депозитарий и регистраторов финансовых транзакций;
- управляющие компании и специализированные депозитарии фондов;
- клиринговые организации и центральных контрагентов;
- организаторов торговли и репозитарии;
- субъектов страхового дела и НПФ;
- операторов инвестиционных и финансовых платформ;
- операторов информационных систем ЦФА и операторов обмена ЦФА.
Для остальных НФО
Действует сокращенный режим по пункту 1.16: не реже одного раза в три года анализировать необходимость установления показателей операционной надежности, документировать решение и контролировать установленные показатели. Для операторов цифровых финансовых активов (ЦФА) дополнительно применяются специальные требования главы 2.
Что проверяем?
Область действия 779-П. Определяется, применяется ли полный или сокращённый состав требований к организации, а для НФО, не перечисленных отдельно, — раз в три года анализируется необходимость установления показателей (пп. 1.1, 1.2, 1.16).
Технологические процессы и пороги простоя. Определяются применимые технологические процессы, а также соблюдение порогового времени простоя и деградации сервисов (п. 1.2, приложение).
Целевые показатели операционной надёжности. Устанавливаются, рассчитываются, фиксируются и контролируются, с ежегодным пересмотром (п. 1.3).
Учёт критичной архитектуры и поставщиков. Ведётся учёт и контроль процессов, технологических участков, информационных систем, оборудования, ответственных работников, субъектов доступа, поставщиков и каналов связи; ведётся реестр процессов и участков, реализуемых поставщиками услуг; выполняются требования к значимым объектам КИИ, входящим в критичную архитектуру (п. 1.4).
Изменения, конфигурации, уязвимости. Организовано управление изменениями, конфигурациями, уязвимостями и обновлениями систем (п. 1.5).
Операционные события и риски поставщиков. Ведётся выявление и регистрация событий операционного риска, реагирование, восстановление процессов и анализ причин и последствий; отдельно управляются риски привлечения поставщиков услуг и технологическая зависимость от них (пп. 1.6, 1.7).
Готовность к угрозам и защита от злоупотреблений. Проводится сценарный анализ и тестирование готовности к информационным угрозам; предусмотрены меры против несанкционированного использования полномочий работниками НФО и поставщиков услуг; организованы получение, обмен и использование информации об актуальных угрозах (пп. 1.8, 1.9, 1.10).
Кадровые и удалённые риски. Управляется зависимость от ключевых работников, обеспечивается защита критичной архитектуры при дистанционной работе (п. 1.11).
Противодействие атакам для значимых организаций. Для системно значимых инфраструктурных организаций со статусом субъекта КИИ — противодействие целевым компьютерным атакам (п. 1.12).
Внутренние документы и жизненный цикл. Наличие внутренних документов с распределением функций, ответственности, ресурсов и контроля; моделирование угроз, планирование мер, контроль и обеспечение надёжности на всём жизненном цикле инфраструктуры; регистрация отклонений показателей, их причин, результатов реагирования и восстановления (пп. 1.13, 1.14).
Информирование Банка России. Уведомление о предусмотренных событиях и публичных мероприятиях (п. 1.15).
Требования для операторов ЦФА. Специальные требования к программной среде, взаимодействующим системам и распределённому реестру (пп. 2.1, 2.2).
Общая применимость требований
Область действия 779-П. Определяется, применяется ли полный или сокращённый состав требований к организации, а для НФО, не перечисленных отдельно, — раз в три года анализируется необходимость установления показателей (пп. 1.1, 1.2, 1.16).
Технологические процессы и пороги простоя. Определяются применимые технологические процессы, а также соблюдение порогового времени простоя и деградации сервисов (п. 1.2, приложение).
Целевые показатели и критичная архитектура
Целевые показатели операционной надёжности. Устанавливаются, рассчитываются, фиксируются и контролируются, с ежегодным пересмотром (п. 1.3).
Учёт критичной архитектуры и поставщиков. Ведётся учёт и контроль процессов, технологических участков, информационных систем, оборудования, ответственных работников, субъектов доступа, поставщиков и каналов связи; ведётся реестр процессов и участков, реализуемых поставщиками услуг; выполняются требования к значимым объектам КИИ, входящим в критичную архитектуру (п. 1.4).
Управление рисками и инцидентами
Изменения, конфигурации, уязвимости. Организовано управление изменениями, конфигурациями, уязвимостями и обновлениями систем (п. 1.5).
Операционные события и риски поставщиков. Ведётся выявление и регистрация событий операционного риска, реагирование, восстановление процессов и анализ причин и последствий; отдельно управляются риски привлечения поставщиков услуг и технологическая зависимость от них (пп. 1.6, 1.7).
Готовность к угрозам и защита от злоупотреблений. Проводится сценарный анализ и тестирование готовности к информационным угрозам; предусмотрены меры против несанкционированного использования полномочий работниками НФО и поставщиков услуг; организованы получение, обмен и использование информации об актуальных угрозах (пп. 1.8, 1.9, 1.10).
Персонал, инфраструктура и КИИ
Кадровые и удалённые риски. Управляется зависимость от ключевых работников, обеспечивается защита критичной архитектуры при дистанционной работе (п. 1.11).
Противодействие атакам для значимых организаций. Для системно значимых инфраструктурных организаций со статусом субъекта КИИ — противодействие целевым компьютерным атакам (п. 1.12).
Внутренние документы и жизненный цикл. Наличие внутренних документов с распределением функций, ответственности, ресурсов и контроля; моделирование угроз, планирование мер, контроль и обеспечение надёжности на всём жизненном цикле инфраструктуры; регистрация отклонений показателей, их причин, результатов реагирования и восстановления (пп. 1.13, 1.14).
Отчётность и специальные требования
Информирование Банка России. Уведомление о предусмотренных событиях и публичных мероприятиях (п. 1.15).
Требования для операторов ЦФА. Специальные требования к программной среде, взаимодействующим системам и распределённому реестру (пп. 2.1, 2.2).
Общая применимость требований
Область действия 779-П. Определяется, применяется ли полный или сокращённый состав требований к организации, а для НФО, не перечисленных отдельно, — раз в три года анализируется необходимость установления показателей (пп. 1.1, 1.2, 1.16).
Технологические процессы и пороги простоя. Определяются применимые технологические процессы, а также соблюдение порогового времени простоя и деградации сервисов (п. 1.2, приложение).
Что происходит после оценки?
Сопровождение внедрения мер
Помогаем перевести рекомендации из отчёта в реальные изменения: внедряем организационные и технические меры защиты информации, дорабатываем процессы, регламенты и контрольные процедуры под требования 779-П и специфику вашей НФО.
Устранение критичных несоответствий
Закрываем в первую очередь те пробелы, которые несут наибольшие риски для организации и могут стать предметом замечаний регулятора: настраиваем процессы управления доступом, инцидентами, СКЗИ и ЭП, готовим недостающие документы и свидетельства выполнения требований.
Сопровождение внедрения мер
Помогаем перевести рекомендации из отчёта в реальные изменения: внедряем организационные и технические меры защиты информации, дорабатываем процессы, регламенты и контрольные процедуры под требования 779-П и специфику вашей НФО.
Устранение критичных несоответствий
Закрываем в первую очередь те пробелы, которые несут наибольшие риски для организации и могут стать предметом замечаний регулятора: настраиваем процессы управления доступом, инцидентами, СКЗИ и ЭП, готовим недостающие документы и свидетельства выполнения требований.
Особенности нашей работы
Работаем очно и дистанционно
При необходимости выезжаем на площадку, чтобы глубже понять бизнес и выявить реальные риски.
Долгосрочное партнёрство
Становимся доверенным партнером по ИБ, а не разовым подрядчиком.
Смежная экспертиза
Объединяем опыт различных ИБ направлений и ИТ: пентесты, мониторинг инцидентов, внедрение любых СЗИ
Не ограничиваемся отчетом
Помогаем внедрить изменения до результата и перепроверить на соответствие требованиям 779-П и ГОСТ Р 57580
Работаем очно и дистанционно
При необходимости выезжаем на площадку, чтобы глубже понять бизнес и выявить реальные риски.
Долгосрочное партнёрство
Становимся доверенным партнером по ИБ, а не разовым подрядчиком.
Смежная экспертиза
Объединяем опыт различных ИБ направлений и ИТ: пентесты, мониторинг инцидентов, внедрение любых СЗИ
Не ограничиваемся отчетом
Помогаем внедрить изменения до результата и перепроверить на соответствие требованиям 779-П и ГОСТ Р 57580
ITG Security - это
Всё в одном окне
Полный спектр услуг — от аудитов и пентестов до круглосуточного мониторинга и интеграции решений
Партнёрство и сопровождение
Мы внимательно слушаем, объясняем сложное простым языком и сопровождаем вас на каждом этапе
Разультативность, а не формальности
Обеспечиваем практическую защиту бизнеса, давая измеримые результаты, а не только отчёты
Прозрачность и надёжность
Работаем открыто, честно и быстро решаем возникающие вопросы, обеспечивая стабильное сотрудничество
Индивидуальный подход
Решения максимально адаптированы к специфике и культуре вашего бизнеса, без шаблонов
Всё в одном окне
Полный спектр услуг — от аудитов и пентестов до круглосуточного мониторинга и интеграции решений
Партнёрство и сопровождение
Мы внимательно слушаем, объясняем сложное простым языком и сопровождаем вас на каждом этапе
Разультативность, а не формальности
Обеспечиваем практическую защиту бизнеса, давая измеримые результаты, а не только отчёты
Прозрачность и надёжность
Работаем открыто, честно и быстро решаем возникающие вопросы, обеспечивая стабильное сотрудничество
Индивидуальный подход
Решения максимально адаптированы к специфике и культуре вашего бизнеса, без шаблонов
Лицензии
Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.
Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.
Лицензия ФСТЭК на техническую защиту конфиденциальной информации позволяет ITG Security оказывать услуги по:
- контролю защищённости от НСД и модификации в системах информатизации;
- проектированию защищённых средств, систем и помещений;
- установке, монтажу, испытаниям и ремонту СЗИ;
- разработке П(ПТ)СЗИ, защищённых средств обработки и контроля защищённости.
- услуги по мониторингу информационной безопасности средств и систем информатизации;
Лицензия ФСБ РФ
Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.
Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.
Лицензия ФСТЭК РФ
Лицензия ФСТЭК на техническую защиту конфиденциальной информации позволяет ITG Security оказывать услуги по:
- контролю защищённости от НСД и модификации в системах информатизации;
- проектированию защищённых средств, систем и помещений;
- установке, монтажу, испытаниям и ремонту СЗИ;
- разработке П(ПТ)СЗИ, защищённых средств обработки и контроля защищённости.
- услуги по мониторингу информационной безопасности средств и систем информатизации;
Лицензия ФСБ РФ
Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.
Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.
Похожие услуги
Часто задаваемые вопросы
Некредитным финансовым организациям, осуществляющим деятельность на финансовом рынке. Полный состав требований применяется к организациям, перечисленным в пункте 1.2, включая профучастников рынка ценных бумаг, страховые организации, НПФ, управляющие и клиринговые организации, депозитарии, организаторов торговли, операторов инвестиционных, финансовых платформ и ЦФА; для остальных НФО действует сокращенный порядок по пункту 1.16. Объем требований зависит от вида деятельности и уровня защиты информации по 757-П.
779-П регулирует операционную надежность НФО: непрерывность финансовых услуг при реализации информационных угроз, допустимое время простоя и деградации, восстановление технологических процессов.
716-П устанавливает систему управления операционным риском для кредитных организаций и банковских групп: выявление, оценку, мониторинг и контроль операционных рисков и потерь. Это разные акты для разных категорий организаций и разных предметов регулирования.
Определяем применимые технологические процессы и проверяем:
- целевые показатели надежности: допустимую долю деградации, время простоя, восстановления и суммарное время нарушений;
- состав критичной архитектуры, зависимость процессов от информационных систем, работников, каналов связи и поставщиков услуг;
- внутренние документы, распределение ролей, реестры процессов, порядок управления изменениями, уязвимостями и конфигурациями;
- меры выявления событий операционного риска, реагирования, восстановления, сценарного анализа и тестирования;
- фактические свидетельства выполнения требований: журналы, логи, отчеты мониторинга, результаты тестов, материалы инцидентов, заявки и протоколы изменений.
Непрерывность и устойчивость оцениваются по цепочке: технологический процесс -> обеспечивающие ресурсы и поставщики -> нормативные показатели-> сценарии отказа -> подтвержденная возможность восстановления в установленный срок.
Отчет о соответствии требованиям 779-П, реестр несоответствий с привязкой к пунктам Положения, оценку критичности нарушений и план корректирующих мероприятий. Дополнительно предоставляется перечень недостающих документов, процессов, технических и организационных мер.
Формируем детальный план устранения несоответствий, разрабатываем и актуализируем внутренние документы, сопровождаем внедрение недостающих процессов и мер операционной надежности. После устранения нарушений проводим повторную проверку и подтверждаем выполнение требований 779-П.
