Анализ и приведение системы управления рисками ИБ в соответствие требованиям ГОСТ Р 57580.3-2022, 716-П и 7-МР
Услуга направлена на оценку и поэтапное приведение действующей системы управления рисками реализации информационных угроз (ИБ) в соответствие требованиям Банка России и ГОСТ Р 57580.3-2022
Услуга направлена на оценку и поэтапное приведение действующей системы управления рисками реализации информационных угроз (ИБ) в соответствие требованиям Банка России и ГОСТ Р 57580.3-2022 с учётом уже реализованных мер по 716-П. В результате заказчик получает прозрачную картину текущего состояния, целевой уровень по требованиям регулятора и практичный план внедрения/доработки процессов.
Для кого это важно
Услуга доступна в двух вариантах:
- Вариант 1 — только анализ и план внедрения
- Вариант 2 — анализ, разработка мер и сопровождение приведения в соответствие
Кому полезна услуга
- кредитным и некредитным финансовым организациям, на которые распространяются требования ГОСТ Р 57580.3-2022, 716-П (в части рисков ИС и ИБ) и методические рекомендации Банка России 7-МР;
- организациям, у которых уже выполнена часть требований по 716-П, но отсутствует целостная система управления рисками информационных угроз;
- компаниям, которым необходимо подтвердить регулятору целевой уровень реализации требований по управлению рисками ИБ;
- руководителям финансовых организаций, подразделениям ИБ, риск-менеджмента, которым нужен структурированный план устранения выявленных несоответствий соответствующий рекомендациям 7-МР.
Вариант 1. Анализ соответствия и план внедрения
Этап 1. Анализ соответствия требованиям ГОСТ Р 57580.3-2022, 716-П (в части рисков ИС и ИБ), 7-МР
Специалисты проводят:
- сбор и анализ действующих документов по управлению рисками ИБ и информационных угроз;
- сопоставление действующих процессов с требованиями ГОСТ Р 57580.3-2022 и учётом ранее реализованных мер по 716-П;
- оценку текущего уровня зрелости процессов управления рисками реализации информационных угроз;
- выявление несоответствий (gap-анализ) требованиям ГОСТ Р 57580.3-2022, 716-П и методическим рекомендациям 7-МР;
- определение целевого уровня реализации требований по управлению рисками информационных угроз в разрезе требований Банка России.
Этап 2. Разработка рекомендаций и плана внедрения стандарта
По итогам анализа формируются:
- общие рекомендации по приведению процессов управления рисками ИБ к требованиям ГОСТ Р 57580.3-2022;
- приоритизированный перечень доработок (по документам, ролям, процедурам, реестрам рисков, методикам оценки и мониторинга);
- план внедрения ГОСТ Р 57580.3-2022 в части управления рисками информационных угроз в формате, соответствующем 7-МР (этапы, сроки, зависимости).
Результат для заказчика по варианту 1:
- проанализировано существующее состояние системы управления риском реализации информационных угроз;
- определён целевой уровень реализации требований для процессов управления рисками ИБ (по требованиям Банка России);
- определён текущий уровень зрелости процессов;
- зафиксированы несоответствия требованиям ГОСТ Р 57580.3-2022, 716-П (в части рисков ИС и ИБ);
- разработаны общие рекомендации и план внедрения ГОСТ Р 57580.3-2022 в соответствии с 7-МР.
Вариант 2. Анализ и приведение в соответствие
Этот вариант включает всё из варианта 1 и дополняет его практической проработкой и сопровождением внедрения.
Этап 1. Анализ соответствия
Выполняется в том же объёме, что и в варианте 1: анализ документов, процессов, ролей, сопоставление с ГОСТ Р 57580.3-2022, 716-П, 7-МР, определение целевого и текущего уровней, фиксация разрывов.
Этап 2. Разработка детальных рекомендаций и дорожной карты
Разрабатываются:
- детализированные рекомендации по устранению каждого выявленного несоответствия;
- перечень технических и организационных мер (регламенты, процедуры, обновление профилей рисков, карты рисков, методики оценки рисков ИБ);
- матрица «срок — ресурс — ответственное подразделение»;
- согласованная дорожная карта внедрения стандарта.
Этап 3. Приведение в соответствие требованиям (консалтинговое сопровождение)
При необходимости выполняется:
- проработка и согласование недостающих документов, процедур и ролей;
- описание и внедрение процессов управления рисками ИБ в требуемом регулятором цикле (идентификация, оценка, управление, мониторинг и отчётность);
- консультационная поддержка при внедрении технических и организационных мер;
- подготовка отчётных материалов для регулятора;
- разработка и внедрение недостающих требований стандарта (опционально).
Результат для заказчика по варианту 2:
- проанализировано существующее состояние системы управления рисками реализации информационных угроз;
- определён целевой и текущий уровни реализации требований;
- выявлены и описаны несоответствия требованиям ГОСТ Р 57580.3-2022, 716-П (в части рисков ИС и ИБ);
- разработаны детальные рекомендации по повышению уровня соответствия;
- сформирован перечень технических и организационных мер для устранения несоответствий;
- детально проработаны инициативы (сроки, ресурсы, ответственные);
- подготовлена и согласована дорожная карта внедрения стандарта;
- (опционально) разработаны и внедрены недостающие требования;
- подготовлен план внедрения ГОСТ Р 57580.3-2022 в формате, соответствующем методическим рекомендациям Банка России 7-МР.
Что получает заказчик
- прозрачный и понятный отчёт о текущем состоянии системы управления рисками ИБ;
- сопоставление «как есть» с требованиями ГОСТ Р 57580.3-2022, 716-П и 7-МР;
- целевую модель выполнения требований и критерии её достижения;
- план работ, который можно сразу выносить на согласование руководству и регулятору;
- при варианте 2 — сопровождение и методическую поддержку до фактического приведения в соответствие.
Компания может адаптировать глубину анализа и детализацию плана под масштабы и зрелость организации, а также учесть уже выполненные требования по 716-П, чтобы не дублировать ранее реализованные меры.
Услуга направлена на оценку и поэтапное приведение действующей системы управления рисками реализации информационных угроз (ИБ) в соответствие требованиям Банка России и ГОСТ Р 57580.3-2022 с учётом уже реализованных мер по 716-П. В результате заказчик получает прозрачную картину текущего состояния, целевой уровень по требованиям регулятора и практичный план внедрения/доработки процессов.
Новости и материалы по теме
