Новая форма отчётности для кредитных организаций
Центральный Банк России выпустил Указание от 8 ноября 2021 года, № 5986-У «О внесении изменений в Указание Банка России от 8 октября 2018 года № 4927-У «О перечне, формах и порядке составления и представления форм отчётности кредитных организаций в центральный банк российской федерации»».
Чем же примечательна эта форма, и почему к ней был проявлен повышенный интерес со стороны подразделений ИБ?
Все дело в том, что этим указанием вводится форма отчётности 0409071 «Сведения об оценке выполнения кредитными организациями требований к обеспечению защиты информации», а также вводится порядок ее составления.
До текущего момента, были только требования по проведению оценки соответствия ГОСТ Р 57580 «Безопасность финансовых операций. Защита информации финансовых организаций» по Положениям Банка России 683-П, 747-П, 719-П, 757-П, а также приказом Минцифры № 930. Однако порядка отчётности и сроков не было предусмотрено.
Возникали вопросы, как же отчитываться за выполнение требований вышеуказанных положений? Провести оценку соответствия сторонней организацией, лицензиатом ФСТЭК, согласовать полученные результаты, получить от проверяющей организации бумажный отчет и машинные носители, и хранить их до первой проверки регулятором? Руководящих документов по порядку действий не было.
С выходом данного Указания все встало на свои места. Теперь кредитные финансовые организации обязаны подавать отчётность по оценке выполнения требований к обеспечению защиты информации один раз в два года. Аналогичное требование содержалось в Положении Банка России 382-П.
Какие есть особенности в заполнении данной формы?
Заполнение кредитными организациями сведений о том, что они выполняют требования по обеспечению защиты информации, осуществляется по результатам проведения оценки соответствия по следующим направлениям:
- Технологические меры;
- Безопасность программного обеспечения;
- Безопасность информационной инфраструктуры.
Рассмотрим разделы подробнее.
Раздел 1. Сведения об оценке выполнения требований по направлению «Технологические меры»
Технологические меры заполняются кредитной финансовой организацией по методике, указанной в Приложении № 1 Положения 742-П. В данном положении имеется шкала оценок от 0 до 1, с шагом 0,25, где:
- 1 — «да» («постоянно», «всегда», «в полном объеме»);
- 0.75 — «в основном да» («почти постоянно», «почти всегда», «почти в полном объеме»);
- 0.5 — «частично» («отчасти да», «не всегда», «в некоторых случаях»);
- 0.25 — «в основном нет» («непостоянно», «почти никогда»);
- 0 — «нет» («никогда», «ни в каких случаях»).
Также имеется перечень технологических мер, которые по данной шкале необходимо получить. Оценки за направления высчитываются как среднеарифметическое значение.
Раздел 2. Сведения об оценке выполнения требований по направлению «Безопасность программного обеспечения»
Заполнение раздела 2 Отчёта осуществляется на основе оценки выполнения требований к обеспечению защиты информации, применяемых в отношении прикладного ПО автоматизированных систем и приложений, установленных нормативными актами Банка России. В положениях ЦБ РФ, указанных выше, имеются требования, что в отношении прикладного ПО, с помощью которого через сеть «Интернет» осуществляются электронные платежи клиентов, должна быть проведена оценка соответствия ОУД 4.
Заполнение данного раздела аналогично предыдущему. Используется та же шкала оценок, и те же направления. Оценка за направления высчитывается как среднеарифметическое из всех показателей.
Раздел 3. Сведения об оценке выполнения требований по направлению «Безопасность информационной инфраструктуры»
Данный раздел заполняется из отчёта оценки соответствия, проведенной сторонней организацией, лицензиатом ФСТЭК. За каждый из процессов отражается результат оценки реализации мер. Для отражения итоговой оценки имеется соответствующая графа. Также оценка за направления отражена в итоговом отчёте оценке соответствия, оформленном в строгом соответствии с п. 8.2. ГОСТ Р 57580.2-2018. Итогом данного раздела является общая оценка за все процессы и направления R.
Раздел 4. Сведения о проверяющей организации
Это информативный раздел, в котором указываются сведения об организации, которая будет проводить оценку соответствия. Напомним, что данная организация должна иметь лицензию на осуществление деятельности по технической защите конфиденциальной информации.
Вывод
Подводя итог можно однозначно сказать, что заполнение формы 0409071 не будет занимать много времени, при выполнении всех требований. Рекомендуется использовать минимальные программные средства, для выполнения расчётов и получения сведений, необходимых для заполнения разделов 1 и 2. Например, стандартное приложений MS Office Excel.