ГОСТ Р 57580: требования Банка России к защите информации финансовых организаций

Полное название — «Безопасность финансовых (банковских) операций. Защита информации финансовых организаций». Это национальный стандарт Российской Федерации (индекс ГОСТ Р, не межгосударственный), и утверждает его, как и любой ГОСТ Р, Федеральное агентство по техническому регулированию и метрологии (Росстандарт) — отдельным приказом на каждую часть серии.

Здесь есть особенность, которая отличает 57580 от большинства других национальных стандартов: содержательным разработчиком выступает не отраслевая организация, а сам Банк России — через Технический комитет по стандартизации ТК 122 «Стандарты финансовых операций». Регулятор, который затем ссылается на этот стандарт в своих нормативных актах, и есть его автор. Этим объясняется, почему ГОСТ 57580 так плотно завязан именно на положения ЦБ, а не остаётся справочной рекомендацией, как многие ГОСТы.

Круг обязанных лиц конкретизирует не сам ГОСТ, а нормативные акты Банка России. По составу этих положений (раздел ниже) в него входят:

Отдельно от ГОСТ 57580 организации, которые принимают, передают или хранят данные платёжных карт (номер, срок действия, CVV), могут быть обязаны соответствовать международному стандарту PCI DSS — требования платёжных систем и банков-эквайеров к обработке карточных данных действуют параллельно с требованиями Банка России и не заменяют друг друга.

Серия состоит как минимум из четырёх частей, и каждая решает свою задачу. Проще всего запомнить связку так: .1 — что делать, .2 — как проверить, что сделано, а .3 и .4 добавляют к этому управление риском и операционную надёжность.

↔ таблицу можно прокрутить вбок

Отдельная точка актуальности: по согласованным вторичным источникам, кредитным организациям, не входящим в приоритетные категории, рекомендовано внедрить 57580.3 и 57580.4 до 31.12.2026; отдельным категориям НФО — внедрить 57580.4 в тот же срок. Точный перечень категорий и обязательный либо рекомендательный статус этого срока по конкретному положению ЦБ стоит уточнять отдельно для своей организации оценка.

Стандарт вводит три уровня защиты информации, и нумерация здесь контринтуитивна: уровень 1 — не самый низкий, а самый высокий.

↔ таблицу можно прокрутить вбок

Организация не выбирает уровень защиты информации самостоятельно и не определяет его по самому ГОСТу — его назначает конкретное положение Банка России (раздел ниже) исходя из:

• вида деятельности и предоставляемых финансовых услуг;
• объёма и характера финансовых операций;
• значимости организации для финансового рынка или национальной платёжной системы — в том числе статуса системно значимой кредитной организации или оператора значимой платёжной системы.

Одна и та же организация может вести несколько контуров (сегментов) с разными уровнями защиты одновременно — например, сегмент, обрабатывающий информацию для СБП, требует более высокого уровня, чем остальная инфраструктура той же организации.

Пример назначения уровня — банки. По умолчанию банки реализуют стандартный уровень (2), за исключением системно значимых кредитных организаций, организаций, выполняющих функции операционного и платёжного клирингового центра значимых платёжных систем, и организаций, значимых на рынке платёжных услуг — им предписан усиленный уровень (1). Эта логика подтверждена по прежней редакции положения (683-П); при переходе на действующее 851-П состав исключений стоит перепроверить отдельно.

Каждое из положений Банка России ниже — самостоятельный нормативный акт с собственным кругом адресатов. Объединяет их одно: все они через прямую отсылку вменяют выполнение ГОСТ Р 57580.1 и прохождение оценки соответствия по 57580.2.

↔ таблицу можно прокрутить вбок

Отдельно стоит Положение № 833-П от 07.12.2023 (в силе с 01.01.2024, часть требований — с 2025 года) — предъявляет требования к защите информации участникам платформы цифрового рубля. Это не замена одного из перечисленных положений, а новый, нишевой смежный акт, не входящий в основной фокус этого материала.

Оценка соответствия по 57580.2 — не то же самое, что сертификация СЗИ ФСТЭК: там речь о конкретном продукте, здесь — о защите информации организации в целом. Термин совпадает, предмет проверки разный, и это частый источник путаницы.

Числовая шкала. Оценка проводится иерархически: по каждой мере защиты выставляется частная оценка, частные оценки агрегируются в оценки подпроцессов, подпроцессы — в оценки процессов, процессы — в единую итоговую числовую оценку соответствия защиты информации в диапазоне от 0 до 1. Эта итоговая оценка переводится в дискретный уровень соответствия — от 0 (нулевой) до 4 (наивысший из применяемых на практике).

Именно на этот дискретный уровень ссылаются положения ЦБ, когда требуют «уровень соответствия не ниже N-го». Точные числовые пороги перехода между уровнями в открытых вторичных источниках расходятся, поэтому здесь не приводятся — для конкретного проекта их стоит сверять напрямую по тексту ГОСТ Р 57580.2-2018 не подтверждено.

Периодичность — разная для разных категорий:

↔ таблицу можно прокрутить вбок

Отдельно от оценки защиты информации организации в целом положения Банка России — прежде всего 851-П и 821-П — предъявляют требование к прикладному программному обеспечению, которое кредитная организация распространяет клиентам для совершения банковских операций: системы дистанционного банковского обслуживания, «Клиент-банк», карточный процессинг, платёжные шлюзы. Такое ПО должно быть либо сертифицировано ФСТЭК России, либо для него должна быть проведена оценка по оценочному уровню доверия не ниже ОУД4 согласно ГОСТ Р ИСО/МЭК 15408 («Общие критерии»).

ГОСТ 57580 защищает организацию в целом, ОУД4 — конкретное клиентское ПО ДБО. Оба требования установлены одними и теми же положениями ЦБ и часто проверяются в рамках одного проекта комплаенса, но методология ОУД4 — отдельная большая тема со своей нормативной базой (приказ ФСТЭК № 76). Подробный разбор — на странице «Уровни доверия ФСТЭК».

• Определить применимое положение ЦБ. Банк, НФО, участник платёжной системы или оператор перевода — от этого зависит, какое положение (851-П, 821-П, 802-П, 757-П) назначает требования именно вам.
• Уточнить назначенный уровень защиты информации. Для банков и участников платёжной системы уровень в большинстве случаев задаёт положение напрямую; для отдельных категорий НФО по 757-П уровень организация определяет сама ежегодно, но по критериям положения, не произвольно.
• Сопоставить текущий состав мер с требованиями 57580.1 по назначенному уровню — это база для дальнейшего проекта, а не факультативный шаг.
• Спланировать цикл оценки соответствия по 57580.2 — с учётом периодичности для своей категории (раз в 2 года для банков, раз в год или в три года для НФО) и заранее выбрать лицензированного аудитора с ТЗКИ.
• Проверить смежные обязательства — требование к ОУД4 для ПО ДБО (если применимо), а также пересечение с обработкой персональных данных: финансовая организация одновременно подпадает под 152-ФЗ и под ГОСТ 57580 — это два разных, но пересекающихся комплаенс-трека, разбор ПДн — на странице «Персональные данные в финансовом секторе».

С точки зрения продуктового покрытия требований 57580.1 управление доступом и сегментация закрываются классом IdM/IAM, мониторинг и управление инцидентами — классом SIEM, требования к шифрованию каналов и данных — классом СКЗИ, а смысловая цель ключевого положения 851-П (противодействие переводам без согласия клиента) напрямую адресуется классом Antifraud.

Ни один из этих продуктов не заменяет собой лицензированного аудитора при оценке соответствия — они снижают риск получить низкий балл к моменту очередного цикла проверки.