22 января 2025 года Банком России были утверждены «Методические рекомендации Банка России по проведению тестирования на проникновение и анализа уязвимостей информационной безопасности объектов информационной инфраструктуры организаций финансового рынка» (2-МР)

🖋 С документом важно ознакомиться организациям финансового рынка, находящимся под надзором Банка России:
- кредитным организациям
- некредитным финансовым организациям
- субъектам национальной платежной системы
- бюро кредитных историй

В Положениях Банка России 683-П, 757-П, 821-П для них установлены требования по регулярному тестированию на проникновение и анализу уязвимостей информационной безопасности объектов их инфраструктуры.

📄 Глобально новых требований в 2-МР, изучив документ, мы не обнаружили.

Собрали обратную связь от наших специалистов из Круга Offensive Security и из Круга методологии и комплаенса. Узнали, какие новые важные пункты из методических рекомендаций стоит отметить, какие сложности могут возникнуть, как изменится взаимодействие с клиентами.

Тезисно:

↕️В документе явно указывается методика, по которой должна проводиться оценка уязвимостей.

Есть требования к стилю описания уязвимостей в соответствии с ГОСТ Р 58143-2018 «Информационная технология. Методы и средства обеспечения безопасности. Детализация анализа уязвимостей программного обеспечения в соответствии с ГОСТ Р ИСО/МЭК 15408 и ГОСТ Р ИСО/МЭК 18045. Часть 2. Тестирование проникновения»; ГОСТ Р 56545-2015 «Защита информации. Уязвимости информационных систем. Правила описания уязвимостей».

Этот стиль в некотором виде отличается от того, который мы используем в данный момент.

↕️Строгий формат отчета. В 2-МР. В Приложении к документу приводится типовая структура отчета. В сравнении со структурой, которую мы сейчас используем, в новой немного изменен порядок описания.

↕️Также в методических рекомендациях указаны требования о нахождении специалистов на территории России.

На текущий момент это только рекомендации, но заказчики уже сейчас начинают интересоваться, а кто-то даже закладывает требования наличия 2-МР в проекте договора.

Для нас как для специалистов есть сложности в том, что нужно переработать отчет для соответствия 2MР в контексте структуры. Необходимо переработать наши типовые таблицы, с помощью которых мы описываем уязвимости, чтобы удовлетворять запросы клиентов. Обновленная форма описания уязвимости кажется довольно объемной. Она включает около 15 полей вместо наших четырех. Сейчас активно занимаемся преобразованием наших шаблонов отчета. В какой-то степени зона комфорта меняется :) По нашим прогнозам: к этому скоро все придут. А мы всегда стремимся быть проактивными в нашей работе — отметил тимлид Круга Offensive Security, Филимонов Кирилл.

В настоящее время мы готовы приступить к выполнению необходимых работ и оформлению отчетов в соответствии с 2-МР.

Прикрепляем ссылку на сам документ: https://www.cbr.ru/crosscut/lawacts/file/9945

#Экспертно_РАДКОП #2MP

2-МР: о чем нужно помнить Заказчику 🕵‍♂️

Неделю назад мы рассказали о важных для специалистов пунктах из новых методических рекомендаций (2-МР), утвержденных Банком России 22 января 2025 года. Рекомендуем ознакомиться с предыдущим постом.

Углубившись в тему, мы выделили новые рекомендации уже для Заказчиков, а не Исполнителей. Что нельзя упустить из виду представителям организаций финансового рынка:

↕️Модель угроз информационной безопасности

У заказчика должна быть сформированная модель угроз информационной безопасности для объектов информационной инфраструктуры. Эта модель должна основываться на методическом документе «Методика оценки угроз безопасности информации», утвержденном ФСТЭК России 5 февраля 2021 года (Пункт 1.7. рекомендаций).

Почему это важно: Модель угроз помогает выявить потенциальные риски и разработать эффективные меры защиты.

↕️Техническое задание (ТЗ) на пентест

Необходимо наличие технического задания на проведение тестирования на проникновение и анализ уязвимостей информационной безопасности.

Рекомендуется включать в ТЗ:

- Описание классов атак.
- Описание среды проведения пентестов.
- Схему сетевых подключений (карта сети).
- Описание факторов риска, реализуемых в рамках пентеста (угрозы, шантаж работников, воздействие на личные социальные сети).
- События, при наступлении которых незамедлительно прекращается пентест.

↕️Планы восстановления операционной надежности

Организация должна иметь планы восстановления операционной надежности в случае возникновения нештатных ситуаций в ходе проведения тестирования на проникновение.

Почему это важно: Планы восстановления помогают минимизировать ущерб и быстро восстановить работу в случае инцидента.

↕️Рекомендуется обязательная перепроверка уязвимостей после их выявления

↕️Обеспечьте регистрацию инцидентов защиты информации, связанных с пентестом
Для этого должен быть функционирующий SOC (Security Operations Center).

Команда RAD COP уже перешла на работу в соответствии с 2-МР. Если у вас есть вопросы — задавайте их в комментариях или по ссылкам в шапке профиля.

Отправляйте пост коллегам и представителям организаций финансового рынка, чтобы и они были в курсе 🤝

#2MP #Экспертно_РАДКОП