Материал актуален на ноябрь 2026 года.
У финансовой организации может быть полный комплект документов по информационной безопасности: политики, регламенты, матрицы доступа, модель угроз, журналы контроля. При этом оценка соответствия ГОСТ Р 57580 всё равно может выявить существенные проблемы.
Одна из причин — расхождение между документами и реальной инфраструктурой. Регламенты описывают один набор систем и процессов, а защищаемая информация фактически обрабатывается в другом, более широком контуре. В результате часть объектов оказывается вне оценки, а реализацию отдельных мер невозможно подтвердить.
Для ГОСТ Р 57580 это принципиальный момент. Прежде чем проверять настройки СЗИ и собирать доказательства, нужно определить, какие требования Банка России распространяются на организацию, какой уровень защиты необходимо реализовать и что входит в область оценки.
Разберем, как определять границы контура, формировать выборку, подтверждать реализацию мер защиты и отличать предварительный аудит от регламентированной оценки соответствия.
ГОСТ Р 57580.1 и 57580.2: разные задачи
В финансовом секторе часто говорят об оценке по ГОСТ Р 57580, объединяя два стандарта. Однако у них разное назначение.
Документ | Что определяет |
ГОСТ Р 57580.1-2017 | Уровни защиты информации и требования к базовому составу организационных и технических мер. |
ГОСТ Р 57580.2-2018 | Методологию оценки выбора и реализации мер защиты информации, расчет результата и требования к оформлению отчета. |
ГОСТ Р 57580.1-2017 задает требования к защите информации. ГОСТ Р 57580.2-2018 определяет, как оценивать выбор и реализацию соответствующих мер.
Из этого следует практическое различие.
Финансовая организация может документально предусмотреть все необходимые процедуры, но это еще не подтверждает их выполнение. При оценке проверяется, насколько реализованные меры соответствуют применимым требованиям, как они работают в установленной области оценки и какими свидетельствами подтверждаются.
Что именно требует ГОСТ Р 57580.1-2017
Стандарт предусматривает три уровня защиты информации:
усиленный;
стандартный;
минимальный.
Для регулируемой финансовой организации требуемый уровень определяется с учетом применимых нормативных актов Банка России. Например, для кредитных организаций Положение № 851-П устанавливает конкретные уровни в зависимости от их категории.
ГОСТ Р 57580.1 содержит требования к восьми процессам системы защиты информации:
Обеспечение защиты информации при управлении доступом.
Обеспечение защиты вычислительных сетей.
Контроль целостности и защищенности информационной инфраструктуры.
Защита от вредоносного кода.
Предотвращение утечек информации.
Управление инцидентами защиты информации.
Защита среды виртуализации.
Защита информации при осуществлении удаленного логического доступа с использованием мобильных (переносных) устройств.
Но содержание стандарта этим не ограничивается.
Раздел 8 предусматривает требования к организации и управлению защитой информации: планированию, реализации, контролю и совершенствованию процессов. Раздел 9 касается защиты информации на этапах жизненного цикла автоматизированных систем.
Соответственно, недостаточно установить антивирус, настроить межсетевой экран или внедрить DLP.
Нужно определить применимые меры, реализовать их, обеспечить управление соответствующими процессами и проверить выполнение требований на этапах жизненного цикла автоматизированных систем в предусмотренных случаях.
Для оценки соответствия важны как технические настройки, так и организация процессов защиты информации.
Сначала категория организации, потом требования
ГОСТ Р 57580 применяется в финансовом секторе, но одинакового набора обязательных требований для всех участников рынка нет.
Отправная точка — нормативное регулирование конкретной организации.
Категория | Основное регулирование | Что учитывать |
Кредитные организации и филиалы иностранных банков | Требуемый уровень защиты и соответствия, порядок и периодичность оценки. | |
Некредитные финансовые организации | Категорию НФО, требуемый уровень защиты, условия и периодичность оценки. | |
Участники национальной платежной системы, на которых распространяются соответствующие требования | Категорию участника, применимые требования к защите информации и оценке. | |
Кредитные организации — участники платформы цифрового рубля | Защиту информации в выделенных сегментах инфраструктуры и требования к оценке соответствия. |
При этом нормативные акты могут применяться одновременно.
Например, кредитная организация, участвующая в работе платформы цифрового рубля, должна учитывать как общие требования к защите информации при осуществлении банковской деятельности, так и специальные требования к инфраструктуре, используемой для операций с цифровыми рублями.
Отдельной осторожности требуют НФО. В эту группу входят страховые организации, негосударственные пенсионные фонды, профессиональные участники рынка ценных бумаг, микрофинансовые организации и другие категории финансовых организаций.
Принадлежность к НФО сама по себе не позволяет определить единый обязательный набор мер.
Так, Положение № 757-П предусматривает различия между организациями, реализующими усиленный, стандартный и минимальный уровни защиты информации. Для НФО, реализующих усиленный уровень, оценка соответствия предусмотрена не реже одного раза в год, стандартный — не реже одного раза в три года.
Кроме того, Указанием Банка России от 28 октября 2025 года № 7219-У, официально опубликованным в феврале 2026 года, расширяются требования к защите информации для отдельных категорий НФО, включая страховые организации, НПФ, регистраторов и микрофинансовые организации.
Основные изменения вступают в силу с 1 января 2027 года, отдельные положения — с 1 января 2028 года. В частности, для соответствующих категорий организаций предусматриваются дополнительные требования к оценке защиты информации и безопасности используемого программного обеспечения.
Таким образом, до формирования чек-листа следует установить:
К какой регулируемой категории относится организация?
Какие нормативные акты Банка России распространяются на ее деятельность?
Какой уровень защиты необходимо реализовать?
Какие информационные системы и технологические процессы подпадают под соответствующие требования?
Каковы требования к оценке соответствия, ее периодичности и проверяющей организации?
Без такой квалификации можно подготовить значительный объем документов и технических свидетельств, но применить неверный набор критериев.
Когда ГОСТ становится обязательным
Национальные стандарты по общему правилу применяются добровольно.
Для финансового сектора действует другой механизм: нормативные акты Банка России устанавливают обязательные требования к защите информации с применением соответствующих положений ГОСТ Р 57580.1-2017 и методики ГОСТ Р 57580.2-2018.
Например, Положение № 851-П устанавливает требования к защите информации для кредитных организаций и филиалов иностранных банков. Положение № 757-П определяет соответствующие обязанности для регулируемых категорий НФО.
Для участников платежной инфраструктуры требования устанавливаются с учетом их статуса и положений № 821-П.
Если организация не подпадает под соответствующее регулирование, стандарт может использоваться добровольно — как методическая основа построения системы защиты информации или формирования требований к подрядчикам.
Главная инженерная задача — определить границы области оценки
Проблемы при подготовке к ГОСТ Р 57580 нередко возникают из-за неправильно установленной области оценки.
Согласно п. 6.1 ГОСТ Р 57580.2-2018, область оценки соответствия должна совпадать с областью применения ГОСТ Р 57580.1-2017.
При этом конкретные границы определяются с учетом применимых нормативных требований, состава защищаемой информации, используемых технологий и бизнес-процессов.
В зависимости от организации в область оценки могут входить:
банковские, платежные и другие регулируемые автоматизированные системы;
системы дистанционного обслуживания;
мобильные и веб-приложения;
серверы, рабочие станции и сетевое оборудование;
средства виртуализации;
компоненты системы защиты информации;
средства журналирования и мониторинга;
процессы управления доступом;
процессы разработки и сопровождения ПО;
процессы реагирования на инциденты;
инфраструктурные компоненты и сервисы, обеспечивающие обработку защищаемой информации.
Особое внимание необходимо уделять связям между системами и внешним взаимодействиям.
Пример: основная система входит в контур, а административный доступ остался вне схемы
Предположим, финансовая организация использует автоматизированную систему обработки операций клиентов.
В перечне объектов оценки указаны серверы приложения, база данных и средства защиты сетевого сегмента.
При этом администрирование выполняется через отдельный шлюз удаленного доступа, учетные записи управляются централизованной службой каталогов, а события безопасности поступают во внешнюю систему мониторинга.
Если при определении границ оценивать только серверы основного приложения, можно упустить компоненты, от которых зависит безопасность защищаемой информации.
Например:
права привилегированных пользователей назначаются вне рассматриваемого сегмента;
доступ подрядчика осуществляется через отдельный канал;
события администрирования регистрируются в другой системе;
централизованные политики безопасности применяются с инфраструктурных серверов, не включенных в первоначальный перечень.
Это не означает, что каждый связанный компонент автоматически должен становиться самостоятельным объектом оценки.
Но влияние таких компонентов на безопасность регулируемого контура необходимо проанализировать, определить применимые требования и документально обосновать границы.
Что делать с инфраструктурой подрядчиков
Отдельный вопрос — внешние сервисы и подрядчики.
Если подрядчик сопровождает программное обеспечение, предоставляет инфраструктуру или получает удаленный доступ к системе, необходимо определить его роль в обработке защищаемой информации и реализации мер защиты.
Однако сам факт привлечения подрядчика не означает автоматического включения всей его инфраструктуры в область оценки финансовой организации.
Необходимо установить:
какие объекты и процессы участвуют в обработке защищаемой информации;
где проходят границы ответственности сторон;
как организован доступ подрядчика;
какие меры безопасности реализует финансовая организация, а какие — подрядчик;
какие свидетельства реализации соответствующих мер могут быть представлены;
распространяются ли на рассматриваемые компоненты специальные нормативные требования.
Результатом такой работы должна стать технически обоснованная область оценки, а не произвольное расширение или сокращение списка систем.
Область оценки и выборка — разные вещи
После определения области необходимо установить, какие именно подразделения, системы и объекты будут непосредственно проверяться.
Здесь важно различать два понятия.
Область оценки определяет совокупность объектов, на которые распространяется процедура.
Выборка определяет конкретные объекты и подразделения, исследуемые в рамках этой процедуры для получения достоверного результата.
Согласно п. 6.1 ГОСТ Р 57580.2-2018, количество и выборку проверяемых подразделений, объектов информатизации, автоматизированных систем и средств вычислительной техники определяет проверяющая организация самостоятельно с учетом предложений проверяемой организации и необходимости обеспечить достоверность итоговой оценки.
Например, в финансовой организации могут эксплуатироваться сотни однотипных рабочих станций.
Проверка каждой из них не всегда необходима. Но выборка, состоящая исключительно из нескольких специально подготовленных машин, не позволит достоверно оценить реализацию мер во всей рассматриваемой инфраструктуре.
При подготовке полезно заранее выявить различия между группами объектов:
разные версии операционных систем;
неодинаковые политики доступа;
отличающиеся конфигурации средств защиты;
различные способы администрирования;
инфраструктуру филиалов с локальными особенностями.
Это помогает сформировать достоверные исходные данные для проверяющей организации.
Какие требования можно не оценивать
ГОСТ Р 57580.2-2018 также предусматривает возможность определения неоцениваемых областей.
Согласно п. 6.11 стандарта, соответствующий перечень может формироваться проверяющей группой совместно с проверяемой организацией.
В него могут включаться отдельные меры, непосредственно связанные с технологиями, которые в организации не используются, либо меры, реализация которых не требуется для нейтрализации актуальных угроз, определенных моделью угроз и нарушителей.
Во втором случае проверяющая группа должна убедиться в актуальности и обоснованности соответствующей модели.
Перечень неоцениваемых областей и обоснование их исключения включаются в итоговый отчет.
Поэтому исключение меры нельзя сводить к объяснению, что организация ее не реализовала или технически не готова подтвердить.
Документы проверяются вместе с фактической реализацией
После определения области оценки анализируются внутренние нормативные документы.
Это могут быть политики информационной безопасности, правила управления доступом, регламенты реагирования на инциденты, документы по управлению изменениями, резервному копированию и другим процессам.
Но проверка не заканчивается установлением факта существования документа.
Необходимо сопоставить предусмотренный порядок с тем, как процесс реализован в информационных системах.
Пример: отключение доступа уволенного сотрудника
Во внутреннем регламенте установлено, что учетная запись сотрудника блокируется в день прекращения трудовых отношений.
Чтобы подтвердить выполнение этого требования, недостаточно предъявить утвержденный документ.
Можно исследовать:
заявку на прекращение доступа;
время блокировки учетной записи;
записи системы управления учетными записями;
сведения об изменении членства в группах доступа;
журналы событий;
порядок отключения удаленного доступа.
Допустим, доменная учетная запись сотрудника действительно заблокирована, но его персональная учетная запись в отдельном административном интерфейсе продолжает действовать.
Регламент формально существует, основной процесс выполняется, но фактическая реализация мер управления доступом может оказаться неполной.
Для оценки важно исследовать не только предусмотренную процедуру, но и ее выполнение в относящихся к области оценки системах.
Доказательство реализации меры — отдельная задача
Даже корректно работающий процесс бывает трудно подтвердить, если результаты его выполнения не фиксируются.
Например, права пользователей регулярно пересматриваются, но решения по итогам пересмотра нигде не сохраняются.
Сотрудники утверждают, что контроль проводится. Однако подтвердить его периодичность, объем и результаты затруднительно.
ГОСТ Р 57580.2-2018 рассматривает свидетельства как основу оценки.
Пункт 6.13 стандарта предусматривает использование различных источников, включая документы, опросы сотрудников, наблюдения за процессами, параметры технических настроек и результаты применения средств проверки.
При подготовке необходимо определить, где находятся свидетельства реализации каждой применимой меры.
В качестве таких свидетельств могут использоваться:
журналы регистрации событий;
записи в системах управления заявками и изменениями;
матрицы доступа и результаты пересмотра прав;
параметры конфигураций средств защиты;
результаты мониторинга;
материалы анализа уязвимостей;
сведения о резервном копировании и восстановлении;
протоколы выполнения контрольных процедур;
результаты предыдущих проверок.
Конкретный набор определяется проверяемыми требованиями и особенностями инфраструктуры.
Важно учитывать и порядок сбора свидетельств. Пункты 6.14 и 6.15 ГОСТ Р 57580.2 предусматривают условия использования технических средств проверки и документирования полученных результатов.
Поэтому подготовка должна охватывать доступность необходимых данных, порядок их предоставления и участие уполномоченных сотрудников.
Уровень защиты и уровень соответствия — разные показатели
Эти понятия часто используются рядом, но описывают разные характеристики.
Уровень защиты информации — усиленный, стандартный или минимальный. Он определяет требования к составу реализуемых мер.
Уровень соответствия — результат оценки того, насколько организация реализовала применимые требования.
ГОСТ Р 57580.2-2018 предусматривает качественную модель из шести уровней соответствия — от нулевого до пятого.
Например, четвертый уровень предполагает, что организационные и технические меры реализуются в полном объеме на постоянной основе в соответствии с установленными организацией подходами, а контроль и совершенствование их реализации в основном осуществляются.
При проведении оценки используются предусмотренные стандартом показатели и методика расчета итоговой оценки соответствия R.
При этом требуемый результат определяется применимым нормативным актом Банка России.
Для кредитных организаций п. 13.3 Положения № 851-П устанавливает уровень соответствия не ниже четвертого.
Для филиалов иностранных банков предусмотрен переходный период:
до 31 декабря 2026 года включительно — не ниже третьего уровня соответствия;
с 1 января 2027 года — не ниже четвертого.
Одновременно меняется и требуемый уровень защиты информации: до конца 2026 года для филиалов иностранных банков предусмотрен минимальный, с 1 января 2027 года — стандартный.
У НФО требования отличаются по категориям. В частности, Положение № 757-П предусматривает для организаций, реализующих усиленный и стандартный уровни защиты, достижение не ниже четвертого уровня соответствия.
Таким образом, один и тот же уровень соответствия может требоваться при разных уровнях защиты информации и разных составах применимых мер.
Что должно быть видно из итогового отчета
По результатам оценки оформляется отчет в соответствии с требованиями ГОСТ Р 57580.2-2018.
Его содержание должно позволять установить:
область и сроки проведения оценки;
сведения о проверяемой и проверяющей организациях;
методы проведения оценки;
использованные источники свидетельств;
состав исследованных объектов и подразделений;
результаты оценки применимых требований;
перечень неоцениваемых областей с обоснованием;
обоснование применения компенсирующих мер, если они использовались;
итоговую оценку и уровень соответствия.
С инженерной точки зрения ценность отчета заключается в возможности проследить связь между требованиями, исследованными объектами, свидетельствами и итоговыми выводами.
Например, если в отчете сделан вывод о реализации мер управления доступом, должно быть понятно, на основании каких свидетельств он получен.
Для кредитных организаций Положение № 851-П предусматривает хранение отчета проверяющей организации не менее пяти лет с даты его выдачи.
Требования к хранению отчетов также предусмотрены для соответствующих категорий НФО и регулируемых участников платежной инфраструктуры.
Независимость проверяющей организации — обязательное условие
ГОСТ Р 57580.2-2018 содержит определение проверяющей организации, предполагающее ее независимость.
Согласно п. 3.2, проверяющая организация должна быть независима как от проверяемой финансовой организации, так и от организаций, которые осуществляли или осуществляют внедрение и сопровождение систем, средств и процессов информатизации и защиты информации, используемых в период проверки и входящих в область оценки.
Это условие необходимо учитывать при выборе исполнителя.
Требования к лицензированию проверяющей организации зависят от применимого нормативного акта. Например, Положения № 757-П и № 821-П предусматривают наличие лицензии на техническую защиту конфиденциальной информации с соответствующими видами работ, указанными в подпунктах «б», «д» или «е» пункта 4 Положения о лицензировании, утвержденного постановлением Правительства РФ № 79.
Для участников платформы цифрового рубля Положение № 833-П устанавливает требование к лицензии на работы и услуги, предусмотренные подпунктом «б» указанного пункта.
сии могут устанавливать требования к лицензированию проверяющей организации.
Например, Положение № 757-П и Положение № 821-П предусматривают привлечение организаций с соответствующими лицензиями на деятельность по технической защите конфиденциальной информации.
Перед заключением договора полезно проверить:
Какое юридическое лицо будет проводить оценку и указываться в отчете.
Имеется ли необходимая лицензия ФСТЭК России.
Соответствуют ли разрешенные виды работ фактическому предмету оценки.
Соблюдаются ли требования к независимости.
Есть ли у специалистов опыт оценки по ГОСТ Р 57580 и применимым актам Банка России.
Может ли исполнитель документально обосновать результаты и расчеты.
Особенно важно разделять подготовку к оценке и непосредственное проведение регламентированной процедуры.
Внутренний аудит может выполняться собственными специалистами организации либо с привлечением консультантов. Но он не заменяет оценку, для которой нормативный акт требует привлечения соответствующей проверяющей организации.
Периодичность оценки не отменяет постоянного контроля
Периодичность зависит от категории финансовой организации и применимых требований Банка России.
Например:
для кредитных организаций и филиалов иностранных банков Положение № 851-П предусматривает оценку не реже одного раза в два года. При этом Положение № 851-П предусматривает наряду с оценкой соответствия защиты информации оценку выполнения требований, реализуемых с использованием технологических мер защиты информации и применяемых к прикладному программному обеспечению автоматизированных систем и приложений. Для этих видов оценки также установлена периодичность не реже одного раза в два года;
для НФО с усиленным уровнем защиты Положение № 757-П предусматривает оценку не реже одного раза в год;
для НФО со стандартным уровнем защиты не реже одного раза в три года;
для участников платформы цифрового рубля, подпадающих под Положение № 833-П, предусмотрена оценка не реже одного раза в два года;
для участников национальной платежной системы периодичность и условия оценки определяются с учетом их категории и требований Положения № 821-П.
Однако установленный интервал не означает, что область оценки можно сформировать один раз и больше не пересматривать.
За время между оценками организация может:
внедрить новую автоматизированную систему;
изменить сетевую архитектуру;
перенести часть инфраструктуры в облако;
подключить внешнего поставщика;
изменить схему удаленного администрирования;
переработать процесс управления доступом;
изменить технологию обработки защищаемой информации.
Каждое такое изменение может повлиять на актуальность области оценки, модели угроз и реализованных мер защиты.
Поэтому управление изменениями должно учитывать требования к защищаемому контуру, даже если следующая регламентированная оценка запланирована значительно позже.
Семь типичных расхождений между документами и инфраструктурой
При подготовке к оценке полезно отдельно проверить ситуации, в которых формально описанные процессы расходятся с фактическим состоянием защиты.
1. Область оценки не соответствует реальной инфраструктуре
В перечне указаны основные автоматизированные системы, но не проанализированы связанные сервисы, удаленные каналы, административные интерфейсы или компоненты, обеспечивающие обработку защищаемой информации.
В результате границы могут оказаться неполными.
2. Модель угроз описывает прежнюю архитектуру
Организация внедрила новые информационные системы, изменила сетевую архитектуру или передала часть процессов подрядчику, но модель угроз не актуализировалась.
В таком случае затруднительно обосновать применимость отдельных мер, а также исключение мер из оценки по основаниям, связанным с актуальными угрозами.
3. Регламент и техническая настройка противоречат друг другу
Документ устанавливает один порядок предоставления прав доступа, а в информационной системе фактически используется другой.
Или регламент требует регистрации определенных событий, но соответствующее журналирование не настроено.
Такой разрыв может непосредственно повлиять на результат оценки реализации мер.
4. Компенсирующая мера применяется без обоснования
Вместо предусмотренной стандартом меры организация использует альтернативное техническое или организационное решение.
ГОСТ Р 57580.1-2017 предусматривает возможность применения компенсирующих мер при соблюдении установленных условий.
Однако при оценке необходимо подтвердить обоснованность их использования и оценить фактическую реализацию. Согласно п. 6.12 ГОСТ Р 57580.2-2018, обоснование применения компенсирующих мер включается в отчет.
Само наличие альтернативного решения не подтверждает его достаточность.
5. Процесс выполняется, но свидетельства не сохраняются
Права доступа пересматриваются, резервное копирование проводится, контрольные процедуры выполняются, но результаты не документируются.
При оценке оказывается затруднительно подтвердить регулярность и полноту выполнения мер.
6. В системах остаются избыточные учетные записи
После увольнения сотрудников или завершения работ подрядчиков их учетные записи продолжают действовать.
Дополнительный риск создают сервисные учетные записи, не имеющие установленного владельца, понятного назначения и процедуры контроля.
7. Владельцы процессов не могут подтвердить выполнение процедур
Внутренние документы утверждены, но сотрудники, отвечающие за соответствующие процессы, не могут объяснить порядок их выполнения или предоставить подтверждающие материалы.
Согласно ГОСТ Р 57580.2-2018, опросы сотрудников могут использоваться в качестве источника свидетельств.
Поэтому подготовка владельцев процессов должна заключаться в проверке реального понимания процедур и доступности подтверждений, а не в заучивании правильных ответов для проверяющей организации.
Предварительный аудит и оценка соответствия: почему их лучше разделять
В профессиональной речи любую проверку по ГОСТ Р 57580 иногда называют аудитом.
Однако предварительный аудит и регламентированная оценка соответствия решают разные задачи.
Предварительный аудит направлен на обнаружение расхождений между применимыми требованиями и фактическим состоянием системы защиты.
Он позволяет проверить состав инфраструктуры, актуальность документов, технические настройки, организацию процессов и наличие доказательств до проведения официальной оценки.
Регламентированная оценка соответствия проводится с учетом требований ГОСТ Р 57580.2-2018 в объеме, предусмотренном применимым нормативным актом Банка России. Например, Положения № 851-П и № 833-П предусматривают применение раздела 6 стандарта. При этом специальные требования соответствующих положений определяют особенности процедуры, включая область оценки и привлечение проверяющей организации.
В ходе процедуры оцениваются выбор и реализация мер защиты, оформляются свидетельства, рассчитывается результат и составляется отчет.
Для финансовой организации разделение этих этапов полезно организационно.
По итогам предварительного аудита можно составить план устранения несоответствий, назначить ответственных и проверить результат исправлений.
Регламентированная оценка проводится уже в отношении фактически реализованной системы защиты.
Как организовать подготовку к оценке
Удобнее начинать подготовку с определения применимых требований и проверки контура, а затем переходить к документам и свидетельствам.
Шаг 1. Определить нормативную применимость
Установить категорию организации, применимые положения Банка России, требуемый уровень защиты, уровень соответствия и периодичность оценки.
Шаг 2. Зафиксировать область оценки
Сформировать перечень регулируемых информационных систем, инфраструктурных объектов и процессов.
Проверить связи между системами, потоки защищаемой информации, способы удаленного доступа и взаимодействие с подрядчиками.
Шаг 3. Проверить модель угроз
Убедиться, что модель угроз и нарушителей соответствует фактической архитектуре и используемым технологиям.
Шаг 4. Сопоставить требования с реализованными мерами
Для каждого применимого требования определить, какие организационные и технические меры используются и как обеспечивается их выполнение.
Шаг 5. Проверить документы
Установить, соответствуют ли политики, положения и регламенты фактическим процессам.
Отдельно проверить актуальность документов по управлению доступом, мониторингу, инцидентам и изменениям инфраструктуры.
Шаг 6. Подготовить свидетельства
Определить источники подтверждений для применимых мер: журналы, конфигурации, заявки, результаты контроля и другие данные.
Проверить их полноту, актуальность и доступность.
Шаг 7. Проверить обоснование исключений и компенсирующих мер
Если отдельные меры предлагается не оценивать либо заменять компенсирующими, подготовить обоснования с учетом требований ГОСТ Р 57580.1 и 57580.2.
Шаг 8. Устранить выявленные несоответствия
Скорректировать технические настройки, процессы и документы, устранить необоснованные доступы и другие расхождения.
Шаг 9. Проверить готовность владельцев процессов
Убедиться, что сотрудники понимают выполняемые процедуры и могут предоставить свидетельства их реализации.
Шаг 10. Проверить исполнителя и актуальность области оценки
До начала регламентированной процедуры проверить требования к независимости, лицензированию и компетенциям проверяющей организации.
Повторно убедиться, что область оценки соответствует действующей инфраструктуре.
Такой порядок снижает риск ситуации, когда основные усилия затрачены на оформление документов, но при оценке выясняется, что часть значимой инфраструктуры не была учтена, а реализация заявленных мер не подтверждается.
Вместо вывода
ГОСТ Р 57580 нельзя применять как универсальный чек-лист с одинаковым набором требований для любой финансовой организации.
Конкретный состав мер, область оценки, требуемый уровень защиты, периодичность и условия проведения процедуры определяются с учетом нормативных актов Банка России и фактической инфраструктуры.
Поэтому подготовка начинается с трех связанных задач.
Первая — правильно определить применимые требования и границы области оценки.
Вторая — установить, насколько фактические процессы и технические настройки соответствуют этим требованиям.
Третья — обеспечить доказуемость реализации мер.
Если область оценки, документация и фактическая инфраструктура согласованы, результат оценки можно обосновать конкретными техническими и организационными свидетельствами. Именно это позволяет использовать процедуру для объективной проверки состояния защиты информации, а не ограничиваться формальным анализом документов.
