ГОСТ Р 57580: защита информации в финансовых организациях

ГОСТ Р 57580 — национальный стандарт, который описывает требования к обеспечению информационной безопасности финансовых организаций. На него ориентируются банки, операторы платёжных систем и другие участники финансового рынка, поскольку Банк России в своих нормативных актах ссылается на этот стандарт как на базу для построения и оценки защиты информации. Конкретные части стандарта, версии и связанные положения Банка России следует сверять с актуальной редакцией на дату проекта.

Из чего состоит стандарт

ГОСТ Р 57580 — это серия. Одна часть задаёт базовый состав мер защиты информации (что именно нужно делать). Другая часть описывает методику оценки соответствия этим мерам (как проверить, что меры действительно работают). Вместе они позволяют не только внедрить защиту, но и измеримо подтвердить её зрелость.

Направления обеспечения ИБ

Стандарт структурирует защиту по процессным направлениям. В числе ключевых:

• Управление учётными записями и доступом субъектов
• Защита вычислительных сетей и сетевого периметра
• Защита от вредоносного кода
• Контроль целостности и защищённости информационной инфраструктуры
• Регистрация и анализ событий безопасности (мониторинг)
• Управление инцидентами информационной безопасности
• Защита при удалённом доступе и работе с мобильными устройствами

Каждое направление содержит конкретный набор мер. Точные перечни — по тексту стандарта.

Уровни защиты

Стандарт предусматривает несколько уровней защиты информации (условно — усиленный, стандартный, минимальный). Чем выше значимость организации и обрабатываемых данных, тем более высокий уровень требуется. Применимый уровень для конкретной организации определяется нормативными актами Банка России, а не выбирается произвольно.

Оценка соответствия

Особенность ГОСТ Р 57580 — формализованная оценка. Результатом становится числовой показатель соответствия, отражающий, насколько фактически реализованы меры по каждому процессу. Это сближает стандарт с практикой регулярного аудита информационной безопасности: организация не просто декларирует защиту, а периодически подтверждает её количественно. Подробнее о том, что именно изучают при таких проверках, — в материале аудит информационной безопасности: что проверяют.

Кому это касается

Прежде всего — финансовым организациям, поднадзорным Банку России. Но логика стандарта полезна шире: его процессный подход к защите перекликается с международной практикой систем управления ИБ — см. ISO/IEC 27001. Организации, попадающие под требования к критической информационной инфраструктуре, дополнительно учитывают 187-ФЗ о безопасности КИИ.

Чем помогаем мы

• Обследование инфраструктуры и оценка текущего соответствия требованиям стандарта
• Анализ разрывов (gap-анализ): какие меры реализованы, какие требуют доработки
• Внедрение технических и организационных мер по направлениям ГОСТ Р 57580
• Настройка процессов мониторинга и управления инцидентами
• Подготовка к оценке соответствия и сопровождение

Связанные термины

• Аудит информационной безопасности — проверка фактической реализации мер
• ISO/IEC 27001 — международный стандарт системы управления ИБ
• 187-ФЗ о безопасности КИИ — смежные требования для значимых объектов