Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

ГОСТ Р № 57580.3-2022 от 01.02.2023

Безопасность финансовых (банковских) операций. Управление риском реализации информационных угроз и обеспечение операционной надежности. Общие положения.

8.2.2.5

Для проведения оценки соответствия по документу войдите в систему.

Список требований

8.2 Направление 1 «Планирование системы управления риском реализации информационных угроз»
8.2.2 Процесс «Выявление и идентификация риска реализации информационных угроз, а также его оценка».
Состав мер по оценке риска реализации информационных угроз.
ВИО.17 Определение и применение методологии оценки риска реализации информационных угроз, включающей:
ВИО.17.1 Оценку СВР событий риска*;

Обязательно для уровня защиты 1 2 3
* Финансовым организациям рекомендуется применять количественный способ при реализации данной меры.
ВИО.17.2 Оценку СТП событий риска*;

Обязательно для уровня защиты 1 2 3
* Финансовым организациям рекомендуется применять количественный способ при реализации данной меры.
ВИО.17.3 Агрегированную оценку уровня риска реализации информационных угроз** в разрезе элементов классификации такого риска (приведенных в рамках Приложений А, Б, В, Г), в том числе в соответствии с требованиями нормативных актов Банка России;

Обязательно для уровня защиты 1 2 3
** В случае, если требования нормативных актов Банка России не устанавливают обязанность финансовой организации проведения количественной оценки риска соответствующим способом, финансовым организациям рекомендуется применять количественный способ при реализации данной меры.
ВИО.17.4 Оценку объема капитала, выделяемого финансовой организацией на покрытие запланированных и незапланированных потерь от реализации риска реализации информационных угроз**, в том числе в соответствии с требованиями нормативных актов Банка России.

Обязательно для уровня защиты 1 2 3
ВИО.18 Оценка СВР инцидентов для каждого бизнес- и технологического процесса с учетом:
ВИО.18.1 Результатов выявления и моделирования информационных угроз;

Обязательно для уровня защиты 1 2 3
ВИО.18.2 Оценки зрелости процессов применения технологических мер защиты информации, реализуемых на технологических участках бизнес- и технологических процессов;

Обязательно для уровня защиты 1 2 3
ВИО.18.3 Оценки зрелости процессов реализации функций безопасности и контроля (наличия) уязвимостей объектов информатизации прикладного уровня;

Обязательно для уровня защиты 1 2 3
ВИО.18.4 Оценки зрелости процессов планирования, реализации, контроля и совершенствования системы управления, определенной в рамках семейства стандартов ЗИ Комплекса стандартов;

Обязательно для уровня защиты 1 2 3
ВИО.18.5 Оценки зрелости процессов планирования, реализации, контроля и совершенствования системы управления, определенной в рамках семейства стандартов ОН Комплекса стандартов.

Обязательно для уровня защиты 1 2 3
ВИО.19 Оценка СТП инцидентов для каждого бизнес- и технологического процесса с учетом:
ВИО.19.1 Уровня критичности (определяемого финансовой организацией самостоятельно, если иное не установлено нормативными актами Банка России) соответствующего бизнес- и технологического процесса в рамках осуществления финансовой организацией вида деятельности, связанного с предоставлением финансовых и (или) информационных услуг;

Обязательно для уровня защиты 1 2 3
ВИО.19.2 Оценки соблюдения в случае реализации инцидентов значений КПУР, установленных политикой управления риском информационных угроз, в части:
способности финансовой организации обеспечить покрытие финансовых потерь в результате инцидентов;
способности финансовой организации обеспечить выполнение обязательств по защите интересов клиентов;
способности финансовой организации осуществлять финансовые (банковские) операции, в том числе операции по переводу денежных средств в рамках срока исполнения обязательств, а также обеспечивать завершенность расчетов по таким операциям;
способности финансовой организации возобновить предоставление финансовых и (или) информационных услуг в течение установленного времени после нарушения в работе;
Обязательно для уровня защиты 1 2 3
ВИО.19.3 Оценки зрелости процессов планирования, реализации, контроля и совершенствования системы управления, определенной в рамках семейства стандартов ОН Комплекса стандартов, в части выявления, регистрации, реагирования на инциденты и восстановления после их реализации;

Обязательно для уровня защиты 1 2 3
ВИО.19.4 Прогнозных оценок запланированных и незапланированных потерь от реализации инцидентов:
на основе данных внутренней отчетности о фактических потерях за определенный временной период (запланированные потери);
o на основе сценариев в маловероятных, но возможных стрессовых ситуациях (незапланированные потери);
Обязательно для уровня защиты 1 2 3
ВИО.19.5 Оценки способности финансовой организации обеспечить соблюдение требований законодательства Российской Федерации в области защиты информации, устанавливаемых на основании статей 57.4 и 76.4-1 Федерального закона «О Центральном банке Российской Федерации (Банке России)» , части 3 статьи 27 Федерального закона «О национальной платежной системе», а также устанавливаемых статьей 19 Федерального закона «О персональных данных», статьей 16 Федерального закона «Об информации, информационных технологиях и о защите информации» и Федеральным законом «О безопасности критической информационной инфраструктуры Российской Федерации».

Обязательно для уровня защиты 1 2 3
ВИО.20 Определение способов проведения оценки уровня риска реализации информационных угроз.

Обязательно для уровня защиты 1 2 3
ВИО.21 Оценка риска реализации информационных угроз, которому финансовая организация подвергает или подвергается со стороны причастных сторон (за исключением клиентов финансовой организации), с учетом степени взаимосвязи и взаимозависимости между финансовой организацией и причастными сторонами (за исключением клиентов финансовой организации), в том числе степени взаимосвязи и взаимозависимости между их объектами информатизации.

Обязательно для уровня защиты 1 2 3
ВИО.22 Организация и выполнение деятельности по переоценке риска реализации информационных угроз на основе:
результатов пересмотра модели информационных угроз;
информации о новом идентифицированном риске реализации информационных угроз;
выявленных событий риска реализации информационных угроз.
Обязательно для уровня защиты 1 2 3

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.