Экспертиза

О своем видении реформы аудита ИБ в финансовой сфере «Б.О» рассказали Анастасия Харыбина, председатель Ассоциации пользователей стандартов по информационной безопасности «АБИСС», и Евгений Безгодов, эксперт Ассоциации

Редакционная статья нового выпуска BIS Journal посвящена вопросам упорядочения рынка внешнего аудита по информационной безопасности в финансовых организациях. Экспертом статьи выступила Директор по развитию AKTIV.CONSULTING, председатель АБИСС Анастасия Харыбина.

Вопрос проведения аудита на соответствие требованиям ГОСТ Р 57580.1 продолжает оставаться для финансовых организаций чрезвычайно актуальным. Однако большинство компаний, подлежащих обязательной оценке соответствия, нередко опасаются аудита.

Один из наиболее частых вопросов от сотрудников служб информационной безопасности – о сроках прохождения оценки соответствия ГОСТ Р 57580.1. Сам по себе этот ГОСТ не является обязательным к применению, но Банк России ссылается на него в своих нормативно-правовых актах (НПА), тем самым обязывая финансовые организации (а это и кредитные организации, и участники финансовых рынков) использовать ГОСТ для организации защиты информации.

ГОСТ Р 57580.1-2017, как и любой другой стандарт на территории Российской Федерации, не является обязательным для применения. Однако Банком России выпущены нормативные акты, устанавливающие необходимость применения ГОСТ Р 57580.1-2017. В статье подробно описаны процесс подготовки к оценке соответствия, состав подсистем защиты информации, которые должны быть реализованы в банке, этапы реализации мероприятий по защите информации, схема оценки соответствия.

С момента выхода первой редакции Стандарта СТО БР ИББС-1.0 прошло 16 лет. За это время Банком России совместно со специалистами в области защиты информации проведена огромная работа по стандартизации требований по информационной безопасности для финансовых организаций. Но «рекомендательный» статус СТО БР ИББС не позволял создать единую, измеряемую и применимую ко всем финансовым организациям методологическую основу для реализуемых систем обеспечения информационной безопасности.