Организация защиты информации в некредитных финансовых организаций

• описание общей методологии применения финансовыми организациями требований к содержанию базового состава мер защиты информации, определенного в настоящем стандарте;
• определение уровней защиты информации, реализуемых финансовой организацией.
• требования к содержанию базового состава мер защиты информации для каждого из уровней защиты информации, применение которых направлено на непосредственное обеспечение защиты информации (требования к системе защиты информации).
• требования к содержанию базового состава мер защиты информации для каждого из уровней защиты информации, направленных на обеспечение должной полноты и качества реализации системы защиты информации (требования к системе организации и управлению защитой информации), включая требования к содержанию базового состава мер по обеспечению защиты информации на этапах жизненного цикла АС и приложений.
• описание основных положений базовой модели угроз и нарушителей финансовых организаций.
• состав и содержание рекомендуемых организационных мер, связанных с обработкой финансовой организацией персональных данных.
• перечень событий защиты информации, потенциально связанных с НСД и инцидентами защиты информации, рекомендуемых для выявления, регистрации и анализа.

• общая методология оценки соответствия ЗИ.
• требования к методике оценки соответствия ЗИ;
• описание методологии определения итоговой оценки соответствия ЗИ.
• требования к оформлению результатов оценки соответствия ЗИ.
• форма листов для сбора свидетельств оценки соответствия ЗИ, которые оформляются как приложения к отчету по результатам оценки соответствия ЗИ.
• примерный перечень нарушений ЗИ, которые могли или могут привести к инцидентам ЗИ, наносящим ущерб финансовой организации или ее клиентам.
• формы таблиц оценок, которые оформляются как приложения к отчету по результатам оценки соответствия ЗИ.

• Назначение и структура стандарта
• Общие положения 
• Состав направлений, процессов и требований, определяемый комплексом стандартов 
• Требования к системе управления риском реализации информационных угроз
• Общие положения
• Направление 1 «Планирование системы управления риском реализации информационных угроз»
• Направление 2 «Реализация системы управления риском реализации информационных угроз» 
• Направление 3 «Контроль системы управления риском реализации информационных угроз»
• Направление 4 «Совершенствование системы управления риском реализации информационных угроз»

• Область применения
• Термины и определения
• Общие положения
• Требования к системе обеспечения операционной надежности финансовой организации
• Общие положения
• Процесс 1 «Идентификация критичной архитектуры»
• Процесс 2 «Управление изменениями»
• Процесс 3 «Выявление, регистрация, реагирование на инциденты, связанные с реализацией информационных угроз, и восстановление после их реализации»
• Процесс 4 «Взаимодействие с поставщиками услуг»
• Процесс 5 «Тестирование операционной надежности бизнес- и технологических процессов»
• Процесс 6 «Защита критичной архитектуры от возможной реализации информационных угроз в условиях дистанционной (удаленной) работы»
• Процесс 7 «Управление риском внутреннего нарушителя» 
• Процесс 8 «Обеспечение осведомленности об актуальных информационных угрозах»
• Требования к системе организации и управления операционной надежностью финансовой организации
• Общие положения
• Направление 1 «Планирование процесса системы обеспечения операционной надежности
• Направление 2 «Реализация процесса системы обеспечения операционной надежности»
• Направление 3 «Контроль процесса системы обеспечения операционной надежности»  
• Направление 4 «Совершенствование процесса системы обеспечения операционной надежности»

• ГОСТ Р ИСО/МЭК 15408-1-2012 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель;
• Профиль защиты прикладного программного обеспечения автоматизированных систем и приложений кредитных организаций и некредитных финансовых организаций (ИТ. ПО АС ФО.ПЗ));

• Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (Утверждены приказом ФСТЭК России от 11 февраля 2013 г. №17, с изменениями на 27 апреля 2020 года)

• Положение Банка России от 20 апреля 2021 г. №757-П “Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций” (Новая версия Положения Банка России от 17 апреля 2019 г. № 684-П))

• Положение Банка России от 15 ноября 2021 г. №779-П «Об установлении обязательных для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 761 Федерального закона от 10 июля 2002 года №86-ФЗ «О Центральном банке Российской Федерации (Банке России)», в целях обеспечения непрерывности оказания финансовых услуг (за исключением банковских услуг)»

• Положение от 17 августа 2023 г. №821-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств»
• Требования к обеспечению операторами по переводу денежных средств, поставщиками платежных приложений (при их привлечении операторами по переводу денежных средств) защиты информации при осуществлении переводов денежных средств
• Требования к обеспечению банковскими платежными агентами (субагентами) (при их привлечении для участия в осуществлении переводов денежных средств) защиты информации при осуществлении переводов денежных средств
• Требования к обеспечению операторами услуг информационного обмена (при оказании услуг информационного обмена) защиты информации при осуществлении переводов денежных средств
• Требования к обеспечению операторами платежных систем защиты информации при осуществлении переводов денежных средств
• Требования к обеспечению операторами услуг платежной инфраструктуры (при осуществлении деятельности операционного центра, платежного клирингового центра и расчетного центра) защиты информации при осуществлении переводов денежных средств
• Требования к обеспечению операторами электронных платформ защиты информации при оказании услуг расчетов по сделкам, совершенным с использованием электронной платформы
• Порядок осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств
• Приложение 1. Технологические меры по обеспечению защиты информации при осуществлении переводов денежных средств
• Приложение 2 Таблица технологических мер по обеспечению защиты информации при осуществлении переводов денежных средств на технологических участках