Главная / Глоссарий / ГОСТ Р 57580.1-2017

ГОСТ Р 57580.1-2017 — защита информации в финансовом секторе

ГОСТ Р 57580.1-2017 — это национальный стандарт РФ, устанавливающий базовый состав организационных и технических мер защиты информации для финансовых и банковских организаций. Этот стандарт является обязательным для выполнения всеми банками и некредитными финансовыми организациями по требованиям Банка России.

Простыми словами: Это строгий свод правил безопасности для банков, страховых компаний и других финансовых учреждений, который предписывает, как именно защищать деньги и личные данные клиентов от киберугроз.

📄 Скачать документ:

Скачать ГОСТ Р 57580.1-2017 (PDF)

Содержание

Что такое ГОСТ Р 57580.1-2017?

Этот стандарт, утвержденный и введенный в действие приказом Росстандарта, является краеугольным камнем в обеспечении кибербезопасности российского финансового сектора. Он пришел на смену устаревшим отраслевым рекомендациям и ввел единые, измеримые требования для всех участников финансового рынка.

ГОСТ Р 57580.1-2017 представляет собой базовый состав мер защиты. Существует также вторая часть стандарта — ГОСТ Р 57580.2-2021, которая регламентирует методику оценки соответствия этим требованиям.

📌 Важно: Требования ГОСТ Р 57580.1-2017 являются обязательными для исполнения в соответствии с указаниями и нормативными актами Центрального Банка Российской Федерации.

Инфографика: Кого касается ГОСТ Р 57580.1-2017
Область применения ГОСТ Р 57580.1-2017 для секторов финансового рынка: банки, страховые, НПФ, МФО

На кого распространяется стандарт?

ГОСТ Р 57580.1-2017 обязателен для исполнения всеми участниками финансового сектора, которые находятся под надзором Банка России:

  • Кредитные организации (все банки).
  • Некредитные финансовые организации (НФО):
    • Страховые компании.
    • Профессиональные участники рынка ценных бумаг (брокеры, дилеры, депозитарии).
    • Негосударственные пенсионные фонды (НПФ).
    • Микрофинансовые организации (МФО).
    • Кредитные потребительские кооперативы.
    • Бюро кредитных историй.
  • Платежные системы и операторы платежных систем.

Структура мер защиты

Стандарт делит меры защиты на 8 основных направлений (групп мер), которые должны быть реализованы в финансовой организации:

Группа мерОписание
1. Защита при осуществлении банковских операций Меры по защите платежей, переводов и других финансовых транзакций.
2. Предотвращение утечек информации Контроль за каналами передачи данных, защита от инсайдеров.
3. Управление доступом Идентификация, аутентификация (включая MFA), разграничение прав доступа.
4. Защита вычислительных сетей Использование межсетевых экранов, сегментация сети, защита от DDoS.
5. Контроль целостности и защищенности инфраструктуры Защита от несанкционированных изменений в ПО и конфигурациях.
6. Защита от вредоносных программ Антивирусная защита, использование белых списков приложений.
7. Регистрация событий Ведение детальных логов и их централизованный сбор (SIEM).
8. Управление инцидентами Планирование и реагирование на кибератаки.
Инфографика: Уровни защиты УЗ-1, УЗ-2, УЗ-3
Уровни защиты информации по ГОСТ Р 57580.1-2017: минимальный, средний, максимальный

Уровни защиты (УЗ) в ГОСТ Р 57580.1-2017

Стандарт определяет три уровня защиты информации (УЗ), которые зависят от масштаба и специфики деятельности организации. Для каждого уровня установлен свой состав требований.

Уровень защитыОписание
Усиленный уровень (УЗ-1) Применяется для систем, критичных к непрерывности бизнеса и совершению крупных финансовых операций. Требует максимального набора мер из всех 8 групп.
Стандартный уровень (УЗ-2) Базовый уровень для большинства финансовых организаций. Требует реализации всех групп мер, но с возможностью упрощения для менее критичных систем.
Минимальный уровень (УЗ-3) Применяется для вспомогательных систем или организаций с небольшим объемом операций. Требует реализации минимально необходимого набора мер.

Определение необходимого УЗ для каждого компонента информационной инфраструктуры является обязательным этапом внедрения стандарта.

Оценка соответствия (Аудит)

Для проверки выполнения требований ГОСТ Р 57580.1-2017 применяется методология, описанная во второй части стандарта — ГОСТ Р 57580.2-2021.

В ходе аудита оценивается не только наличие самих мер, но и уровень их реализации (от 0 до 5 баллов). Это позволяет рассчитать итоговый уровень соответствия (1, 2 или 3) и определить, выполняются ли требования регулятора.

  • Уровень соответствия 1: Соответствие подтверждено. Требования выполнены в полном объеме.
  • Уровень соответствия 2: Частичное соответствие. Есть незначительные нарушения, которые можно устранить в течение установленного срока.
  • Уровень соответствия 3: Несоответствие. Требования не выполнены или есть грубые нарушения.

⚠️ Важно: Периодичность проведения аудита устанавливается Банком России. Обычно это не реже одного раза в год. Результаты аудита обязательно направляются в регулятор.

Ответственность за невыполнение

За невыполнение требований ГОСТ Р 57580.1-2017 предусмотрены серьезные санкции со стороны Банка России:

  • Предписания: Обязательное указание на устранение выявленных нарушений в определенный срок.
  • Штрафы: Нарушение предписаний ЦБ РФ влечет за собой административную ответственность (ст. 19.5 КоАП РФ).
  • Ограничения в деятельности: Банк России может ввести ограничения на привлечение вкладов или совершение отдельных банковских операций.
  • Отзыв лицензии: В случае систематических и грубых нарушений, регулятор может инициировать процедуру отзыва лицензии на осуществление банковских операций.

Для небанковских организаций последствия схожи — вплоть до исключения из реестра и прекращения деятельности.

Часто задаваемые вопросы (FAQ)

Распространяется ли ГОСТ 57580.1 на иностранные банки, работающие в России?
Да, если они зарегистрированы как юридические лица в РФ и являются кредитными организациями, они обязаны выполнять требования стандарта.
Когда был утвержден стандарт и обязателен ли он сейчас?
Стандарт был утвержден в 2017 году. Его обязательность подтверждена нормативными актами Банка России и сохраняется в 2026 году.
Что делать, если нет ресурсов для выполнения всех требований УЗ-1?
Банк России позволяет разработать план мероприятий по устранению недостатков с четкими сроками. Однако, для защиты критических систем необходимо изыскивать ресурсы в первую очередь.
Можно ли использовать облачные сервисы, соответствующие ГОСТ 57580?
Да, но только те облачные провайдеры, которые сами могут обеспечить соответствие своим системам требованиям стандарта и предоставляют возможность аудита.
Чем отличается ГОСТ 57580 от требований ФСТЭК?
ГОСТ 57580 — это отраслевой стандарт для финансового сектора, содержащий базовый набор мер. Требования ФСТЭК — это государственные требования, которые в дополнение к ГОСТу могут применяться к системам, обрабатывающим персональные данные или гостайну.
Кто может проводить аудит по ГОСТ 57580?
Аудит могут проводить как внутренние службы аудита (если они независимы), так и внешние организации, обладающие необходимой компетенцией и аккредитацией.

Связанные термины

Техническая защита информации (ТЗИ) Персональные данные (ПДн) Аттестация объектов информатизации

Смотрите также

ФСТЭК России Информационная безопасность (ИБ)

Экспертная помощь по ИБ

Ответим на любые вопросы по защите информации и поможем выбрать решение

Или звоните: +7 (495) 777-75-77