ГОСТ Р № 57580.3-2022 от 01.02.2023

ЗИУ.10.1 Значимость обеспечения выполнения финансовой организацией своих обязательств перед причастными сторонами, в том числе клиентами финансовой организации, а также возможности предоставления запрашиваемой информации, связанной с функционированием бизнес- и технологических процессов, переданных на аутсорсинг, в рамках проведения контроля выполнения требований к обеспечению операционной надежности и защиты информации со стороны Банка России и исполнительных органов государственной власти в рамках выполнения надзорных (контрольных) мероприятий;

ЗИУ.10.2 Важность привлечения поставщиков услуг, отвечающих требованиям финансовой организации к обеспечению операционной надежности и защиты информации, а также заключения соглашения, определяющего детальные условия и разграничение ответственности;

ЗИУ.10.3 Рассмотрение бизнес- и технологических процессов, передаваемых финансовой организацией на аутсорсинг поставщику услуг, в качестве неотъемлемой части осуществления своих видов деятельности, в том числе подпадающих под регулирование в части обеспечения надежности и защиты информации со стороны Банка России и исполнительных органов государственной власти.

ЗИУ.11.1 Определение критериев, в том числе основанных на законодательстве о лицензировании отдельных видов деятельности, для оценки способностей, ресурсов и возможностей поставщика услуг обеспечить соблюдение принятых финансовой организацией сигнальных и контрольных значений КПУР;

ЗИУ.11.2 Определение требований к привлекаемым в рамках аутсорсинга бизнес- и технологических процессов, а также процессов обеспечения операционной надежности и защиты информации поставщикам услуг, в том числе поставщиков облачных услуг (в части установления требуемого уровня зрелости процессов обеспечения операционной надежности и защиты информации в рамках соглашения об аутсорсинге).

ЗИУ.12 Организация и выполнение деятельности по выявлению и идентификации риска реализации информационных угроз, а также его оценке при аутсорсинге*.

ЗИУ.13 Рассмотрение в рамках выявления и идентификации риска реализации информационных угроз, а также его оценки при аутсорсинге дополнительных условий для реализации такого риска, обусловленных:

ЗИУ.14 Использование в рамках выявления и идентификации риска реализации информационных угроз, а также его оценки при аутсорсинге дополнительных показателей, оказывающих влияние на оценку такого риска при аутсорсинге:

ЗИУ.15.1 Проведение финансовой организацией оценки способности, ресурсов и возможностей поставщика услуг при аутсорсинге обеспечить соблюдение принятых финансовой организацией сигнальных и контрольных значений КПУР;

ЗИУ.15.2 Определение в рамках соглашений об аутсорсинге между финансовой организацией и поставщиком услуг положений относительно управления риском реализации информационных угроз, обеспечения операционной надежности и защиты информации;

ЗИУ.15.3 Мониторинг риска реализации информационных угроз при аутсорсинге.

ЗИУ.16.1 Оценки способности, ресурсов и возможностей поставщика услуг обеспечить соблюдение принятых финансовой организацией сигнальных и контрольных значений КПУР;

ЗИУ.16.2 Оценки опыта и репутации поставщика услуг;

ЗИУ.16.3 Оценки показателей деятельности поставщика услуг на основе показателей, предусмотренных мерой ЗИУ.16;

ЗИУ.16.4 Оценки способности, ресурсов и возможностей поставщика услуг обеспечивать выполнение обязательств финансовой организации перед причастными сторонами, в том числе клиентами финансовой организации, а также Банком России и исполнительными органами государственной власти в рамках выполнения надзорных (контрольных) мероприятий в области обеспечения операционной надежности и защиты информации.

ЗИУ.17 Определение в рамках финансовой экосистемы правил и требований к участникам финансовой экосистемы (за исключением пользователей финансовой экосистемы) в части управления риском реализации ин-информационных угроз:

ЗИУ.17.1 Правил и требований к установлению и соблюдению поставщиками финансовых услуг состава КПУР, предусмотренных мерой АПР.11 таблицы 5, при предоставлении финансовых и (или) информационных услуг в рамках финансовой экосистемы.

ЗИУ.17.2 Правил и требований к выявлению и идентификации риска реализации информационных угроз, а также его оценки поставщиками финансовых услуг.

ЗИУ.17.3 Правил и требований к применению участниками финансовой экосистемы (за исключением пользователей финансовой экосистемы) технологических мер защиты информации, реализуемых на технологических участках бизнес- и технологических процессов в рамках финансовой экосистемы, включая идентификацию и аутентификацию пользователей финансовой экосистемы* (в том числе предоставляемые поставщиком облачных услуг).

ЗИУ.17.4 Правил и требований к планированию, реализации, контролю и совершенствованию участниками финансовой экосистемы (за исключением пользователей финансовой экосистемы) процессов системы управления, определяемых в рамках семейств стандартов ОН и ЗИ комплекса стандартов**.

ЗИУ.17.5 Правил и требований к реализации мероприятий, направленных на предотвращение утечек информации***.

ЗИУ.17.6 Правил и требований к безопасности раскрытия информации конфиденциального характера, относящейся к пользователям финансовой экосистемы, внутри финансовой экосистемы****.

ЗИУ.17.7 Правил и требований к выявлению событий риска реализации информационных угроз, в том числе к сбору и регистрации информации о событиях риска реализации информационных угроз и потерях в рамках финансовой экосистемы.

ЗИУ.17.8 Правил и требований к реагированию на инциденты и восстановлению функционирования бизнес- и технологических процессов и объектов информатизации после их реализации, в том числе к взаимодействию между участниками финансовой экосистемы при реагировании и восстановлении после реализации таких инцидентов.

ЗИУ.17.9 Правил и требований к обеспечению осведомленности об актуальных информационных угрозах, в том числе пользователей финансовой экосистемы.

ЗИУ.17.10 Правил и требований к мониторингу риска реализации информационных угроз в рамках финансовой экосистемы.

ЗИУ.18 Рассмотрение в рамках выявления и идентификации риска реализации информационных угроз, а также его оценки в рамках финансовой экосистемы следующих дополнительных видов такого риска: