FAQ: Оценка уровня соответствия по ГОСТ Р 57580
Кто может проводить аудит?
Аудит должен проводиться с привлечением организации, имеющей лицензию ФСТЭК России на осуществление деятельности по технической защите конфиденциальной информации (пункты "б", "д" или "е")
Как проводится аудит?
Оценка соответствия проводится в соответствии с методикой, установленной ГОСТ Р 57580.2-2018. Аудиторы проверяют полноту реализации мер из ГОСТ Р 57580.1-2017. В общей сложности ГОСТ Р 57580.1 содержит более 400 мер. По каждой мере осуществляется сбор свидетельств полноты ее реализации.
Какие доказательства выполнения мер нужно предоставить аудитору?
В качестве свидетельств оценки реализации мер могут выступать: документы проверяемой организации; устные высказывания сотрудников; параметры конфигураций и настроек технических средств. Какие именно свидетельства выбирать для оценки выполнения тех или иных мер, решает аудитор.
Что влияет на итоговую оценку уровня соответствия?
Итоговая оценка соответствия защиты информации – это число в интервале от 0 до 1, которое рассчитывается по формуле. На общую оценку влияют также нарушения, выявленные аудиторами во время проверки.
Сколько времени занимает аудит?
Длительность аудита зависит от количества контуров безопасности и объектов, входящих в область оценки соответствия. В среднем длительность аудита составляет – от одного месяца.
Что является результатом аудита?
В результате аудита формируется отчет, который содержит, в частности, таблицы с числовыми значениями по каждой мере, рассчитанную итоговую оценку уровня соответствия, рекомендации по совершенствованию системы защиты.
К отчету прикрепляются заполненные листы сбора свидетельств с подписями ответственных лиц, а также свидетельства оценки, собранные в процессе аудита.
Как часто нужно проводить аудит?
Кредитные финансовые организации – не реже одного раза в два года.
Некредитные финансовые организации, реализующие усиленный уровень защиты информации, – не реже одного раза в год.
Некредитные финансовые организации, реализующие стандартный уровень защиты, – не реже одного раза в три года.