☰
✕
Cервисы
Managed IT
Решения
Security
Импортозамещение
Партнерам
О компании

Обзор Положения Банка России № 683-П для кредитных организаций

 

В июне 2019 года в России вступило в силу Положение Банка России № 683-П, в котором часть требований полностью продублировали Положение 382-П, которое уже утратило силу и не действует. Несмотря на это, в документе появились новые требования, которые направлены на реальное соблюдение ИБ. Например, на проведение оценки соответствия согласно ГОСТ 57580.

Положение Банка России № 683-П — основной документ, который регулирует информационную безопасность и защиту информации в кредитных организациях со стороны Банка России и действует наравне с Положением № 719-П и № 747-П.

В этом материале мы расскажем, о чем сказано в Положении Банка России № 683-П, какие основные требования оно устанавливает и какую информацию защищает.

Какие требования устанавливает Положение № 683-П

Положение Банка России № 683-П устанавливает обязательные требования по защите информации для кредитных организаций, чтобы не допустить переводы денежных средств без согласия клиента.

Вот основные из них:

Какую информацию нужно защищать по Положению № 683-П

Защищать необходимо всю информацию, которую используют работники или клиенты кредитной организации для проведения банковских операций, связанных с переводами денежных средств:

Кто должен соответствовать ГОСТ Р 57580

По Положению № 683-П все кредитные организации должны проводить оценку соответствия ГОСТ Р 57580. Уровень защиты информации зависит от того, относится ли организация к системно-значимым или нет.

Усиленный (первый) уровень защищенности:

Стандартный (второй) уровень защищенности:

Какие изменения вступили в силу с 1 октября 2022 года

С 1 октября 2022 года вступили в силу изменения в Положении № 683-П, они коснулись:

Организации обязаны использовать программное обеспечение, сертифицированное в соответствии с приказом ФСТЭК РФ 76, либо оценку соответствия по ОУД 4. Оценку соответствия ПО можно проводить не только с привлечением лицензированной организации, но и самостоятельно. При сертификации ПО системно значимые КО должны обеспечить сертификацию не ниже 4 уровня доверия, иные организации не ниже 5 уровня доверия.

Конкретизировали способы обеспечения целостности электронных сообщений: использование усиленной квалифицированной электронной подписи, усиленной неквалифицированной электронной подписи или средств криптографической защиты информации (СКЗИ) с имитозащитой*. А также добавили условия, при которых можно их не применять. *Имитозащита — защита целостности сообщения. Реализуется с помощью добавления к сообщению дополнительного кода, имитовставки, МАС, которая зависит от содержания сообщения и секретного элемента, известного только отправителю и получателю (ключа).

Банк России обязал российские кредитные организации подтверждать совершаемую операцию (например, с помощью одноразового кода), идентифицировать устройства, с которых клиент проводит онлайн-операции, проверять его телефонный номер и подтверждать электронную почту. Эта мера должна обезопасить клиентов от действия кибермошенников.

Клиенты теперь смогут самостоятельно устанавливать в банке запрет на онлайн-операции либо ограничивать их параметры: максимальную сумму для одной транзакции или лимит на определенный период времени.

Конкретизировали инциденты ИБ, о выявлении которых необходимо сообщать регулятору (Положение № 716-П п.7.3). Банки теперь должны:

Чтобы обеспечить безопасность АС, ПО, СВТ и телекоммуникационного оборудования в организациях, которые являются объектами КИИ, теперь необходимо выполнять требования Положения и 187-ФЗ.

Что будет, если проигнорировать требования

Согласно Положению № 683-П кредитные организации обязаны ежегодно тестировать свою ИТ-инфраструктуру на проникновение и не реже одного раза в два года делать оценку соответствия ГОСТ Р 57580.

Если проигнорировать требования Положения, то кредитной организации грозят штрафные санкции со стороны регулятора, увеличивается риск несанкционированных списаний и возникновения уязвимостей. Это может повлиять не только на репутацию, но и привести к финансовым потерям и приостановке всей деятельности компании.

Как ITGLOBAL.COM Security помогает кредитным организациям выполнить требования Банка России

Специалисты ITGLOBAL.COM Security готовы взять весь пул работ, связанных с выполнением требований нормативно-правовых документов Банка России в части информационной безопасности: от проведения пентест до подготовки отчета для регулятора.

Но основная задача команды — помочь клиенту перейти от «бумажной» информационной безопасности к реальной, чтобы на практике защитить  конфиденциальные данные и критически-важные сервисы от утечек и кибератак.