Продукты
Продукты
Menu
02
База знаний
05
Услуги
01
О нас
04
2025
Контакты
phone
e-mail:
Обучение
03
ГОСТ Р 57 580 для банков и финансовых организаций: кому обязателен и как проходит оценка соответствия
13.01.2023
Материал актуален на октябрь 2026 года
Информационная безопасность финансовой организации регулируется не одним документом. Помимо требований Банка России, организациям необходимо учитывать положения ГОСТ Р 57 580.1−2017, а при оценке реализованных мер — методику ГОСТ Р 57 580.2−2018.
При этом недостаточно определить, что компания относится к финансовому рынку. Требования различаются для банков, некредитных финансовых организаций и участников национальной платежной системы. От категории организации зависят необходимый уровень защиты, область проверки, периодичность оценки и требования к проверяющей организации.
Разберем, кому необходимо применять ГОСТ Р 57 580, как соотносятся два стандарта и что предстоит подтвердить во время оценки соответствия.
21/10/26
Б-152
Содержание
Содержание
Что регулирует ГОСТ Р 57580.1-2017
ГОСТ Р 57 580.1−2017 устанавливает требования к защите информации при осуществлении финансовых и банковских операций. Стандарт описывает уровни защиты информации и базовый состав организационных и технических мер, которые финансовая организация должна реализовать в пределах установленной области применения.
В стандарте предусмотрены три уровня защиты:
Какой уровень должна реализовать конкретная организация, определяется не по ее собственному усмотрению, а с учетом требований применимого нормативного акта Банка России. Значение имеют вид деятельности, состав финансовых услуг, объем операций, размер организации и ее значимость для финансового рынка или национальной платежной системы.
В стандарте предусмотрены три уровня защиты:
- усиленный;
- стандартный;
- минимальный.
Какой уровень должна реализовать конкретная организация, определяется не по ее собственному усмотрению, а с учетом требований применимого нормативного акта Банка России. Значение имеют вид деятельности, состав финансовых услуг, объем операций, размер организации и ее значимость для финансового рынка или национальной платежной системы.
ГОСТ охватывает восемь основных процессов защиты информации:
- управление доступом;
- защита вычислительных сетей;
- контроль целостности и защищенности информационной инфраструктуры;
- защита от вредоносного кода;
- предотвращение утечек информации;
- управление инцидентами;
- защита среды виртуализации;
- защита информации при удаленном логическом доступе с использованием мобильных и переносных устройств.
Таким образом, стандарт не ограничивается наличием антивируса, межсетевого экрана или отдельных внутренних документов. Он предполагает комплексную систему, в которой меры защиты определены, внедрены, применяются в работе, контролируются и пересматриваются.
Банк России характеризует ГОСТ Р 57 580.1−2017 как комплексный стандарт, охватывающий планирование, реализацию, контроль и совершенствование процессов защиты информации.
Кому необходимо применять ГОСТ Р 57580
Стандарт предназначен для кредитных организаций, некредитных финансовых организаций и субъектов национальной платежной системы. Однако это не означает, что для всех них действует одинаковый набор требований.
К некредитным финансовым организациям относятся разные участники рынка: страховые организации, негосударственные пенсионные фонды, микрофинансовые организации, профессиональные участники рынка ценных бумаг, организаторы торговли, клиринговые организации, операторы инвестиционных и финансовых платформ и другие организации, перечисленные в статье 76.1 Федерального закона № 86-ФЗ.
Объединять их в статье или внутреннем проекте под одним набором требований неправильно. Даже внутри группы НФО применимость отдельных требований зависит от вида деятельности и категории организации.
Перед подготовкой к оценке необходимо установить:
Без такой квалификации можно подготовить большое количество документов и технических свидетельств, но оценивать не тот контур или не тот набор требований.
Объединять их в статье или внутреннем проекте под одним набором требований неправильно. Даже внутри группы НФО применимость отдельных требований зависит от вида деятельности и категории организации.
Перед подготовкой к оценке необходимо установить:
- к какой категории относится организация;
- какие нормативные акты Банка России распространяются на ее деятельность;
- какой уровень защиты она должна реализовать;
- какие информационные системы, приложения и процессы входят в регулируемый контур;
- должна ли оценка проводиться с привлечением сторонней проверяющей организации.
Без такой квалификации можно подготовить большое количество документов и технических свидетельств, но оценивать не тот контур или не тот набор требований.
Когда ГОСТ обязателен, а когда применяется добровольно
Национальные стандарты по общему правилу применяются добровольно. Однако требования ГОСТ Р 57 580 становятся обязательными для финансовой организации, если соответствующий нормативный акт Банка России содержит ссылку на стандарт и требует применять предусмотренные им меры.
Иными словами, обязательность возникает не только из самого названия ГОСТ, а из сочетания двух элементов:
Так, Положение № 851-П обязывает кредитные организации применять меры защиты, реализующие предусмотренные ГОСТ Р 57 580.1−2017 уровни защиты, а также проводить оценку по ГОСТ Р 57 580.2−2018. Для операторов по переводу денежных средств соответствующие требования закреплены в Положении № 821-П. Для НФО применимость определяется Положением № 757-П и категорией самой организации.
Если организация не относится к сфере регулирования Банка России и на нее не распространяется нормативная ссылка на стандарт, она может использовать ГОСТ Р 57 580 добровольно (например, как основу для построения системы информационной безопасности или формирования требований к подрядчикам).
Иными словами, обязательность возникает не только из самого названия ГОСТ, а из сочетания двух элементов:
- организация относится к регулируемой категории;
- нормативный акт Банка России устанавливает для нее обязанность применять требования стандарта.
Так, Положение № 851-П обязывает кредитные организации применять меры защиты, реализующие предусмотренные ГОСТ Р 57 580.1−2017 уровни защиты, а также проводить оценку по ГОСТ Р 57 580.2−2018. Для операторов по переводу денежных средств соответствующие требования закреплены в Положении № 821-П. Для НФО применимость определяется Положением № 757-П и категорией самой организации.
Если организация не относится к сфере регулирования Банка России и на нее не распространяется нормативная ссылка на стандарт, она может использовать ГОСТ Р 57 580 добровольно (например, как основу для построения системы информационной безопасности или формирования требований к подрядчикам).
Чем отличаются ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018
Эти документы решают разные, но связанные задачи.
Упрощенно разницу можно сформулировать так: первый стандарт отвечает на вопрос, что должно быть реализовано, второй — как проверить и оценить реализацию.
Поэтому наличие документов, подготовленных в соответствии с ГОСТ Р 57 580.1−2017, еще не означает, что организация автоматически пройдет оценку. Проверяющие должны подтвердить, что выбранные меры действительно охватывают установленную область оценки и применяются в повседневной деятельности.
Поэтому наличие документов, подготовленных в соответствии с ГОСТ Р 57 580.1−2017, еще не означает, что организация автоматически пройдет оценку. Проверяющие должны подтвердить, что выбранные меры действительно охватывают установленную область оценки и применяются в повседневной деятельности.
Что включается в область оценки
Область оценки должна совпадать с областью применения требований ГОСТ Р 57 580.1−2017 в конкретной организации. В нее включают автоматизированные системы, приложения, инфраструктурные объекты и технологические процессы, используемые для осуществления регулируемых финансовых или банковских операций.
В зависимости от деятельности организации в область оценки могут входить:
Одна из наиболее распространенных ошибок — формально ограничить область оценки несколькими основными системами. Например, организация включает в нее банковскую или платежную систему, но не учитывает административные интерфейсы, вспомогательные серверы, удаленный доступ, тестовые среды или подрядчиков.
В результате часть инфраструктуры, способная повлиять на защищаемую информацию, остается за пределами оценки.
В зависимости от деятельности организации в область оценки могут входить:
- банковские и платежные системы;
- системы дистанционного обслуживания;
- мобильные и веб-приложения;
- системы обработки и хранения финансовой информации;
- серверы, рабочие станции и сетевое оборудование;
- средства виртуализации;
- средства защиты информации;
- системы журналирования и мониторинга;
- процессы управления доступом;
- процессы разработки, сопровождения и обновления программного обеспечения;
- процессы реагирования на инциденты;
- информационные системы и сервисы подрядчиков, если они участвуют в обработке защищаемой информации или обеспечивают критичные технологические процессы.
Одна из наиболее распространенных ошибок — формально ограничить область оценки несколькими основными системами. Например, организация включает в нее банковскую или платежную систему, но не учитывает административные интерфейсы, вспомогательные серверы, удаленный доступ, тестовые среды или подрядчиков.
В результате часть инфраструктуры, способная повлиять на защищаемую информацию, остается за пределами оценки.
Как проходит оценка соответствия
Оценка начинается не с просмотра документов, а с определения применимых требований и границ проверяемого контура. Если область установлена неправильно, даже детальная проверка не даст достоверного результата.
Определение области и выборки
На первом этапе фиксируют информационные системы, приложения, инфраструктурные объекты, процессы и подразделения, которые должны войти в оценку. Одновременно определяют неоцениваемые области: процессы, подпроцессы, направления и меры, которые исключаются из оценки, и фиксируют обоснование такого решения. Например, отдельная мера может быть неприменима, если соответствующая технология в проверяемой организации не используется.
Состав выборки и определенные области оценки должны достоверно отражать текущее состояние инфраструктуры. Нельзя включать в выборку только наиболее подготовленные подразделения или системы.
Состав выборки и определенные области оценки должны достоверно отражать текущее состояние инфраструктуры. Нельзя включать в выборку только наиболее подготовленные подразделения или системы.
Анализ документов
Проверяющие изучают внутренние нормативные документы и подтверждают, что в организации установлены необходимые правила. Анализ внутренних документов охватывает проверяемую организацию независимо от границ конкретной области оценки.
В частности, проверяются положения об информационной безопасности, правила управления доступом, порядок реагирования на инциденты, регламенты резервного копирования, документы по управлению изменениями, журналы контроля и другие материалы.
На этом этапе оценивается не только наличие документа, но и его применимость к реальным процессам и системам.
В частности, проверяются положения об информационной безопасности, правила управления доступом, порядок реагирования на инциденты, регламенты резервного копирования, документы по управлению изменениями, журналы контроля и другие материалы.
На этом этапе оценивается не только наличие документа, но и его применимость к реальным процессам и системам.
Проверка фактической реализации
Документы сопоставляются с тем, как меры работают на практике. Для этого используются интервью с сотрудниками, наблюдение за выполнением процессов, анализ настроек информационных систем и средств защиты, а при необходимости — инструментальный контроль.
Например, внутренний документ может требовать блокировать учетную запись уволенного работника в день прекращения трудовых отношений. Во время оценки проверяющая организация вправе установить, выполняется ли это требование фактически и можно ли подтвердить выполнение журналами, заявками или сведениями из системы управления учетными записями.
Например, внутренний документ может требовать блокировать учетную запись уволенного работника в день прекращения трудовых отношений. Во время оценки проверяющая организация вправе установить, выполняется ли это требование фактически и можно ли подтвердить выполнение журналами, заявками или сведениями из системы управления учетными записями.
Расчет результата
По результатам проверки оценивается выполнение требований по установленным направлениям. ГОСТ Р 57 580.2−2018 предусматривает расчет итоговой оценки соответствия \(R\), на основании которой определяется уровень соответствия.
Важно не смешивать два понятия:
Необходимый уровень соответствия определяется нормативным актом Банка России для соответствующей категории организации. Поэтому утверждение о том, что всем финансовым организациям достаточно или обязательно получить один и тот же результат, некорректно.
Например, кредитные организации должны обеспечивать уровень соответствия не ниже четвертого. Для филиалов иностранных банков в 2026 году действует переходный порядок: до 31 декабря 2026 года — не ниже третьего уровня, с 1 января 2027 года — не ниже четвертого.
Важно не смешивать два понятия:
- уровень защиты информации — усиленный, стандартный или минимальный;
- уровень соответствия — результат оценки того, насколько организация реализовала применимые требования.
Необходимый уровень соответствия определяется нормативным актом Банка России для соответствующей категории организации. Поэтому утверждение о том, что всем финансовым организациям достаточно или обязательно получить один и тот же результат, некорректно.
Например, кредитные организации должны обеспечивать уровень соответствия не ниже четвертого. Для филиалов иностранных банков в 2026 году действует переходный порядок: до 31 декабря 2026 года — не ниже третьего уровня, с 1 января 2027 года — не ниже четвертого.
Оформление отчета
Итогом становится отчет об оценке соответствия. В нем фиксируются область и сроки оценки, сведения о проверяющей организации, использованные методы, состав выборки, результаты по применимым требованиям, итоговая оценка и уровень соответствия.
Отчет должен позволять понять не только итоговый показатель, но и основания, на которых он рассчитан.
Для кредитных организаций результат, подготовленный проверяющей организацией, необходимо хранить не менее пяти лет с даты его выдачи. Аналогичное требование установлено для регулируемых участников платежной системы.
Отчет должен позволять понять не только итоговый показатель, но и основания, на которых он рассчитан.
Для кредитных организаций результат, подготовленный проверяющей организацией, необходимо хранить не менее пяти лет с даты его выдачи. Аналогичное требование установлено для регулируемых участников платежной системы.
Кто может проводить оценку соответствия
Для кредитных организаций Положение № 851-П предусматривает проведение оценки с привлечением проверяющей организации. Для операторов по переводу денежных средств Положение № 821-П также устанавливает привлечение организации, отвечающей установленным требованиям, включая требования к лицензированию соответствующих работ.
При этом проверяющая организация должна быть независимой. Согласно п. 3.2 ГОСТ Р 57 580.2−2018, она должна быть независима от проверяемой организации, а также от организаций, которые оказывали или оказывают ей услуги по внедрению и сопровождению систем, средств и процессов информатизации и защиты информации, входящих в область оценки.
При выборе исполнителя необходимо проверить:
Внутренняя проверка полезна на этапе подготовки, но не заменяет оценку соответствия, которую проводит независимая проверяющая организация.
При этом проверяющая организация должна быть независимой. Согласно п. 3.2 ГОСТ Р 57 580.2−2018, она должна быть независима от проверяемой организации, а также от организаций, которые оказывали или оказывают ей услуги по внедрению и сопровождению систем, средств и процессов информатизации и защиты информации, входящих в область оценки.
При выборе исполнителя необходимо проверить:
- какое юридическое лицо будет указано в договоре и отчете;
- имеется ли у него необходимая лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации, когда она требуется;
- охватывает ли лицензия фактически выполняемые работы;
- обладает ли команда компетенциями по ГОСТ Р 57 580 и нормативным актам Банка России;
- соблюдаются ли требования к независимости и отсутствует ли конфликт интересов;
- сможет ли проверяющая организация подтвердить выводы доказательствами и корректно рассчитать итоговый результат.
Внутренняя проверка полезна на этапе подготовки, но не заменяет оценку соответствия, которую проводит независимая проверяющая организация.
Как часто проводится оценка
Единой периодичности для всех участников финансового рынка нет.
Положение № 851-П прямо устанавливает двухлетнюю периодичность для кредитных организаций и филиалов иностранных банков. Положение № 821-П предусматривает оценку операторов по переводу денежных средств не реже одного раза в два года.
Для НФО необходимо отдельно проверять категорию организации и актуальную редакцию Положения № 757-П. В 2026 году Банк России расширил требования, в частности для страховых организаций, НПФ и регистраторов.
При этом периодическая оценка не отменяет постоянного контроля. После изменения инфраструктуры, внедрения новой системы, существенного изменения процессов или привлечения нового подрядчика ранее сформированная область оценки может перестать соответствовать фактическому контуру.
Для НФО необходимо отдельно проверять категорию организации и актуальную редакцию Положения № 757-П. В 2026 году Банк России расширил требования, в частности для страховых организаций, НПФ и регистраторов.
При этом периодическая оценка не отменяет постоянного контроля. После изменения инфраструктуры, внедрения новой системы, существенного изменения процессов или привлечения нового подрядчика ранее сформированная область оценки может перестать соответствовать фактическому контуру.
Какие документы и технические свидетельства готовят
Подготовка не должна сводиться к созданию отдельной папки непосредственно перед проверкой. Каждый документ должен соответствовать работающему процессу, а выполнение установленного порядка — подтверждаться свидетельствами.
Обычно проверяющей организации требуются:
Перечисленный набор — стандартный перечень документов и технических свидетельств, который готовят для оценки соответствия. При этом конкретное содержание материалов зависит от используемых систем, процессов и реализованных мер защиты.
По ходу оценки проверяющая организация также может запросить дополнительные свидетельства, необходимые для подтверждения фактической реализации отдельных требований.
Обычно проверяющей организации требуются:
- документы, определяющие область применения требований;
- перечни информационных систем и инфраструктурных объектов;
- схема информационных потоков и сетевого взаимодействия;
- модель угроз и модель нарушителя;
- внутренние документы по восьми процессам защиты информации;
- матрицы доступа и сведения о полномочиях пользователей;
- данные о настройках средств защиты;
- журналы событий и результаты мониторинга;
- материалы по управлению уязвимостями и обновлениями;
- документы по реагированию на инциденты;
- сведения о резервном копировании и восстановлении;
- договоры и требования к подрядчикам;
- результаты внутреннего контроля и ранее проведенных проверок;
- подтверждения обучения и информирования работников.
Перечисленный набор — стандартный перечень документов и технических свидетельств, который готовят для оценки соответствия. При этом конкретное содержание материалов зависит от используемых систем, процессов и реализованных мер защиты.
По ходу оценки проверяющая организация также может запросить дополнительные свидетельства, необходимые для подтверждения фактической реализации отдельных требований.
Чем сильнее эти уровни расходятся между собой, тем больше вопросов может возникнуть при более глубоком контроле.
Какие ошибки обнаруживают перед оценкой
Область оценки не соответствует реальной инфраструктуре
В документах перечислены только основные информационные системы, а вспомогательные сервисы, удаленный доступ, облачная инфраструктура, тестовые среды или подрядчики не учтены.
Модель угроз не отражает текущий контур
Организация внедрила новые системы, изменила сетевую архитектуру или передала часть процессов подрядчику, но модель угроз осталась прежней.
Документы и настройки противоречат друг другу
Внутренний документ устанавливает один порядок предоставления доступа, а фактически права назначаются иначе. Либо документ требует журналировать события, которые система не фиксирует.
Компенсирующие меры не обоснованы
Организация не может реализовать требование предусмотренным способом и применяет другую меру, но не документирует причины, порядок и достаточность такой замены.
Не собраны доказательства выполнения требований
Процесс фактически существует, но подтвердить его невозможно. Например, доступы пересматриваются, однако результаты пересмотра нигде не фиксируются.
Сохраняются лишние учетные записи и полномочия
В системах остаются активные учетные записи уволенных сотрудников, подрядчиков или временных работников. Технические и сервисные учетные записи не закреплены за ответственными лицами.
Сотрудники не знают установленных процедур
Документы утверждены, но владельцы процессов не могут объяснить, как выполняются требования и где хранятся подтверждающие материалы.
Чем аудит отличается от оценки соответствия
Аудит и оценка соответствия решают разные задачи, поэтому использовать эти понятия как синонимы некорректно.
Для подготовки к оценке соответствия сначала проводят аудит. На этом этапе собирают сведения об инфраструктуре, документах, процессах и реализованных мерах защиты, проверяют их наличие и актуальность, выявляют пробелы и расхождения между документами и фактической практикой.
Во время оценки соответствия уже сопоставляют применяемые технологии, организационные и технические меры с требованиями ГОСТ Р 57 580.1−2017 и применимых нормативных актов Банка России. Результат рассчитывается по методике ГОСТ Р 57 580.2−2018.
Поэтому аудит — подготовительный этап, который помогает получить достоверные исходные данные и заранее выявить несоответствия. Оценка соответствия — регламентированная процедура, по итогам которой рассчитывается показатель соответствия и оформляется отчет.
Для подготовки к оценке соответствия сначала проводят аудит. На этом этапе собирают сведения об инфраструктуре, документах, процессах и реализованных мерах защиты, проверяют их наличие и актуальность, выявляют пробелы и расхождения между документами и фактической практикой.
Во время оценки соответствия уже сопоставляют применяемые технологии, организационные и технические меры с требованиями ГОСТ Р 57 580.1−2017 и применимых нормативных актов Банка России. Результат рассчитывается по методике ГОСТ Р 57 580.2−2018.
Поэтому аудит — подготовительный этап, который помогает получить достоверные исходные данные и заранее выявить несоответствия. Оценка соответствия — регламентированная процедура, по итогам которой рассчитывается показатель соответствия и оформляется отчет.
Как подготовиться к оценке соответствия
Начинать подготовку целесообразно с определения применимого регулирования, а не с переписывания документов. Организации необходимо установить свою категорию, требуемый уровень защиты и границы оцениваемого контура.
Затем проводится предварительная проверка документов, процессов и технических настроек. Она позволяет выявить расхождения до официальной оценки: отсутствующие документы, неактуальные модели, лишние права доступа, недостаточное журналирование или неподтвержденные меры.
После устранения замечаний следует собрать доказательства, подготовить владельцев процессов к интервью и проверить, что область оценки остается актуальной. Только после этого целесообразно переходить к оценке с привлечением проверяющей организации, если она обязательна.
Затем проводится предварительная проверка документов, процессов и технических настроек. Она позволяет выявить расхождения до официальной оценки: отсутствующие документы, неактуальные модели, лишние права доступа, недостаточное журналирование или неподтвержденные меры.
После устранения замечаний следует собрать доказательства, подготовить владельцев процессов к интервью и проверить, что область оценки остается актуальной. Только после этого целесообразно переходить к оценке с привлечением проверяющей организации, если она обязательна.
FAQ по ГОСТ Р 57580
Что регулирует ГОСТ Р 57580?
ГОСТ Р 57 580.1−2017 устанавливает уровни защиты информации и требования к организационным и техническим мерам финансовых организаций. ГОСТ Р 57 580.2−2018 определяет методику, по которой оценивается соответствие реализованных мер установленным требованиям.
Кому необходимо соблюдать его требования?
Стандарт применяется кредитными организациями, отдельными некредитными финансовыми организациями и субъектами национальной платежной системы в случаях, предусмотренных нормативными актами Банка России. Конкретный набор требований зависит от категории организации и осуществляемой деятельности.
Как пройти оценку соответствия?
Необходимо определить применимые требования и область оценки, привести в соответствие документы и фактические процессы, собрать подтверждающие материалы и провести оценку по методике ГОСТ Р 57 580.2−2018. Результаты оформляются отчетом.
Кто может проводить оценку?
Оценку соответствия проводит независимая проверяющая организация. Внутренняя проверка или предварительный аудит могут использоваться при подготовке, но не заменяют оценку соответствия.
Исполнитель должен соответствовать требованиям к независимости, компетентности и лицензированию соответствующих работ.
Исполнитель должен соответствовать требованиям к независимости, компетентности и лицензированию соответствующих работ.
Как часто проводится оценка?
Для кредитных организаций и операторов по переводу денежных средств — не реже одного раза в два года. Для НФО периодичность зависит от категории организации и действующих требований Положения Банка России № 757-П.
Какие документы и процессы проверяются?
Проверяются документы и фактическая реализация мер в установленной области оценки: управление доступом, защита сетей, контроль инфраструктуры, защита от вредоносного кода и утечек, управление инцидентами, виртуализация и удаленный доступ. Дополнительно анализируются технические настройки, журналы, результаты контроля и другие свидетельства выполнения требований.
Вывод
ГОСТ Р 57 580 нельзя применять как универсальный чек-лист для всех организаций финансового рынка. Банки, НФО и участники платежной системы работают в разных нормативных контурах, а требования к уровню защиты, результату и периодичности оценки определяются актами Банка России.
Поэтому первый этап подготовки — установить категорию организации, применимое регулирование и границы оценки. После этого можно проверять документы, технические меры и доказательства их фактического применения. Такой подход позволяет не только подготовить отчет, но и выявить реальные разрывы в системе защиты информации.
Поэтому первый этап подготовки — установить категорию организации, применимое регулирование и границы оценки. После этого можно проверять документы, технические меры и доказательства их фактического применения. Такой подход позволяет не только подготовить отчет, но и выявить реальные разрывы в системе защиты информации.
Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!
Материалы по теме