Про VPN в проекте ГОСТ «Защита информации финансовых организаций»

На данный момент отраслевой стандарт для финансового сектора СТО БР носит рекомендательный характер. В следующем году планируется его перевод в ГОСТ и обязательное выполнение всеми финансовыми организациями.
Рассмотрим, как изменятся требования по использованию VPN после принятия ГОСТ «Защита информации финансовых организаций», содержащего Базовый состав организационных и технических мер защиты информации.

На данный момент документ находится в статусе проекта и доступен на сайте технического комитета №122.

Основные моменты

Для кого:

Положения настоящего стандарта предназначены для использования кредитными организациями и некредитными финансовыми организациями, указанными в части первой статьи 76.1 Федерального закона «О Центральном банке Российской Федерации (Банке России)»

О чем:

Устанавливает три уровня защиты информации и состав мер для каждого из них.

Определены три уровня защиты информации:
— уровень 3 – минимальный;
— уровень 2 – стандартный;
— уровень 1 – усиленный.

Установлены три варианта реализации меры:
— «О» – реализация путем применения организационной меры защиты информации;
— «Т» – реализация путем применения технической меры защиты информации;
— «Н» – реализация, является необязательной.

Как определить уровень защиты:

Уровень защиты информации финансовой организации для конкретной области применения устанавливается нормативными актами Банка России и зависит от:
— вида деятельности финансовой организации, состава реализуемых бизнес-процессов и (или) технологических процессов;
— объема финансовых операций;
— размера организации, отнесения финансовой организации к категории малых предприятий и микропредприятий;
— значимости финансовой организации для финансового рынка и национальной платежной системы.

О каких актах Банка России идет речь выше, пока не понятно. Зато указано как соотнести уровни данного документа с уровнями защищенности ПДн из ПП1119:
• 2 стандартный = УЗ3, УЗ4;
• 1 усиленный = УЗ1, УЗ2.

Реализация мер в части СКЗИ

Как и ранее в СТО БР финансовая организация самостоятельно определяет необходимость использования СКЗИ. Например, вместо VPN-туннеля можно реализовать защиту канала связи между двумя соседними зданиями с помощью сотрудников ЧОП:

6.14 Финансовая организация самостоятельно определяет необходимость использования средств криптографической защиты информации (СКЗИ), если иное не предусмотрено федеральными законами и иными нормативными правовыми актами Российской Федерации, в том числе нормативными актами Банка России, и (или) правилами платежной системы.

В разделе «7. Требования к системе защиты информации» перечислены меры защиты и варианты реализаций для различных уровней. Раздел разбит на процессы, некоторые из них – на подпроцессы.