Специалисты бизнес-направления Компании «Актив» AKTIV.CONSULTING, члена АБИСС успешно завершили проект по аудиту информационной безопасности НПФ «Открытие» на соответствие требованиям регулятора, установленным Положением Банка России от 20.04.2021 № 757-П и Национальным стандартом Российской Федерации по безопасности финансовых операций ГОСТ Р 57580.1–2017.

В отличие от организаций банковской отрасли, некредитные финансовые организации (НФО) сравнительно недавно впервые столкнулись с требованиями Банка России к информационной безопасности. Положение Банка России № 684-П, устанавливающее требования для НФО к обеспечению защиты информации, вступило в силу с 1 июня 2019 года, с 1 июля 2021 года было заменено Положением № 757-П.

В соответствии с данными нормативно-правовыми актами перед НПФ «Открытие» возникла задача по реализации достаточно большого количества организационных и технических мер в установленные сроки. С 01 января 2022 года Фонд должен обеспечить защиту информации на третьем уровне соответствия Национального стандарта Российской Федерации ГОСТ Р 57580.1-2017, что необходимо подтвердить отчетом специализированной организации.

В первую очередь, в начале 2020 года общими усилиями специалистов Фонда и AKTIV.CONSULTING была разработана дорожная карта реализации проекта, которая включила в себя 3 основных этапа с учетом целевых сроков достижения результатов и имеющихся ресурсных ограничений.

Первый этап включил в себя предварительный аудит (GAP-анализ) соответствия системы информационной безопасности НПФ «Открытие» требованиям ГОСТ Р 57580.1–2017 и Положения Банка России № 684-П. В область аудита было включено более 40 информационных систем и информационных активов Фонда, анализ проводился более чем по 600 требованиям. По итогам первого этапа Фонд получил рекомендации по реализации необходимого и достаточного набора мер, в т.ч. учитывающих потребности бизнеса организации.

На втором этапе проекта, стартовавшем в начале 2021 года, Фондом были проведены мероприятия по реализации полученных рекомендаций. В части реализации организационных мер были разработаны новые и скорректированы действующие внутренние нормативные документы по информационной безопасности и внедрены соответствующие изменения в бизнес-процессах Фонда.

На заключительном этапе была проведена итоговая оценка соответствия требованиям ГОСТ Р 57580.1–2017, а также требованиям Положения Банка России № 757-П. По результатам этапа, в октябре 2021 года, Фонд получил отчет с приложением набора необходимых свидетельств согласно требованиям ГОСТ Р 57580.2–2018 и подтверждением соответствия целевому третьему уровню соответствия ГОСТ Р 57580.1-2017. Кроме того, Фонду были предоставлены рекомендации по достижению четвертого уровня соответствия ГОСТ Р 57580.1-2017, что с 01 июля 2023 года является требованием Банка России.

«Для нас данный проект носит в своем роде инновационный характер, мы в своей практике впервые столкнулись с необходимостью реализации такого большого объема требований разного уровня сложности в довольно короткие сроки. Привлечение внешнего профильного контрагента в лице AKTIV.CONSULTING позволило Фонду эффективно распределить трудозатраты ответственных подразделений при реализации проекта и в целом способствовало оптимальному управлению ресурсами в ходе приведения информационной безопасности в соответствие с необходимыми требованиями», – отметил начальник отдела информационной безопасности НПФ «Открытие» Николай Самодуров.

«Мы в очередной раз убедились, что своевременно разработанная нами авторская методология по внедрению требований ГОСТ Р 57580 приносит отличные результаты как для финансовых организаций, так и для нас с точки зрения экономии привлекаемых ресурсов и сокращения сроков работ. Высокая степень заинтересованности и вовлеченности сотрудников Фонда на всех уровнях менеджмента и грамотное планирование проектных активностей стали залогом успешности такого непростого и длительного проекта», – добавил руководитель направления по работе с клиентами AKTIV.CONSULTING Олег Симаков.