Допуск ИТ-разработчика к работе в финансовом секторе. Приведение системы ИБ к требованиям ГОСТ 57580.1

Клиент

«Тим Форс Альянс» — разработчик программного обеспечения для автоматизации бизнес-процессов. Компания работает в B2B-сегменте и планировала выйти на рынок финансовых технологий, предлагая банкам собственные ИТ-решения. Выход на этот рынок осложнялся строгими регуляторными требованиями: без официального подтверждения зрелости системы информационной безопасности доступ к тендерам и контрактам с кредитными организациями закрыт.

Актуальность

После 2022 года Банк России последовательно ужесточает требования к защите информации в финансовой сфере. Соответствие ГОСТ 57580.1 стало обязательным не только для самих банков, но и для их ИТ-подрядчиков. Количество кибератак на финансовые организации продолжает расти, а объем похищенных средств увеличиваться, что заставляет регулятора требовать от участников рынка подтверждения зрелости их систем безопасности. Без официального заключения о соответствии разработчик ПО фактически отрезан от тендеров и контрактов с кредитными организациями. Получение оценки 0,7 и выше — единственный способ подтвердить надежность и войти в число поставщиков банковского сектора.

Задачи проекта

Перед командой AKTIV.CONSULTING стояла задача — обеспечить получение официального заключения о соответствии требованиям ГОСТ 57580.1 с итоговым уровнем не ниже 0,7. При этом стандарт изначально спроектирован для финансовых организаций, обладающих специфической инфраструктурой, включающей кассовые узлы, процессинговые центры, физические отделения и банкоматы. У «Тим Форс Альянс» как у ИТ-разработчика данные объекты отсутствуют, поэтому требовалась глубокая экспертная адаптация: аргументированное исключение неприменимых мер и корректная интерпретация оставшихся применительно к деятельности компании-разработчика.

Дополнительные ограничения:

• Жесткие сроки. Проведение длительных выездных проверок и интервьюирования персонала было невозможно.
• Ресурсные лимиты. Отсутствовала возможность привлечения расширенного штата экспертов или внедрения дорогостоящих средств защиты информации.
• Низкая ИБ-зрелость персонала. Сотрудники заказчика не являлись специалистами в области информационной безопасности, что требовало перевода сложных регуляторных требований в простые и понятные форматы.

Таким образом, задача состояла не просто в формальной подготовке документов для аудита, а в построении доказательной базы соответствия, минимизации трудозатрат на сбор данных и создании основы для повторного использования полученных результатов в будущих проектах с другими финансовыми организациями.

Ход проекта

Реализация проекта строилась на гибридной методологии, позволившей соблюсти баланс между качеством результата и ограничениями заказчика.

1. Адаптация методологии под ограничения

Специалисты AKTIV.CONSULTING отказались от классического аудита с длительными интервью и выездными проверками. Вместо этого применили комбинированный подход: структурированные опросные листы как основной инструмент сбора первичных данных с последующей выборочной экспертной верификацией и углублённой аналитикой. Такой формат позволил:

• снизить нагрузку на персонал заказчика (сотрудники заполняли формы в удобное время, без отрыва от задач),
• ускорить сбор информации на 50–70% по сравнению с традиционными интервью,
• сразу получать письменные артефакты, пригодные для предоставления аудиторам.

2. Сбор данных и работа с персоналом

Учитывая низкую ИБ-зрелость сотрудников, специалисты AKTIV.CONSULTING перевели сложные регуляторные требования в простые, понятные формулировки. Опросники сопровождались краткими пояснениями, что минимизировало ошибки и повторные итерации. Выборочные уточнения проводились точечно, без массовых встреч, что сохранило темп проекта.

3. Экспертная адаптация ГОСТ 57580.1

Ключевой этап — интерпретация стандарта под профиль ИТ-разработчика. Команда AKTIV.CONSULTING детально проанализировала требования стандарта:

• аргументированно исключили меры, неприменимые для компании без банковской инфраструктуры,
• оставшиеся требования переложили на процессы разработки, эксплуатации и сопровождения ПО,
• приоритизировали меры по влиянию на итоговый балл. Сначала внедрялись критические, дающие максимальный вклад в достижение уровня 0,7, затем — второстепенные.

4. Формирование системы и документации

На основе собранных данных и проведенного анализа разработан полный комплект организационно-распорядительной документации. Это создало прозрачную структуру СОИБ, понятную как внутренним сотрудникам, так и внешним аудиторам. Дополнительно сформирована дорожная карта развития ИБ на годы вперед, которая фиксирует не только состояние «как есть», но и целевые ориентиры для повышения зрелости.

5. Подготовка доказательной базы и получение заключения

Собранные артефакты и сформированная документация легли в основу отчетности для аудиторов. Выбранный подход обеспечил требуемый уровень достоверности данных и позволил успешно пройти оценку соответствия. Заказчик получил официальное заключение с уровнем 0,7, что подтвердило эффективность выбранной методологии и качество проработки.

Особенность проекта

Стандарт ГОСТ 57580.1 изначально создан для банков с их инфраструктурой (кассовые узлы, процессинг, банкоматы), а компания «Тим Форс Альянс» — ИТ-разработчик без этих объектов. Команде AKTIV.CONSULTING пришлось не просто формально применить требования, а провести глубокую экспертную адаптацию: аргументированно исключить неприменимые меры и переложить оставшиеся на процессы разработки и сопровождения ПО.

Результаты

Итогом проекта стало получение заказчиком официального заключения о соответствии ГОСТ 57580.1 (уровень 0,7), что открыло доступ к тендерам и работе с крупным стратегическим клиентом. Но главная ценность — не сам документ, а созданная система. Разработан полный пакет организационно-распорядительной документации: регламенты, положения, планы. Теперь любой сотрудник или внешний аудитор видит, как устроена СОИБ компании. Задача «превратить ИБ из хаоса в управляемый процесс» решена.

Экспертная адаптация банковского стандарта под специфику ИТ-разработчика позволила аргументированно исключить неприменимые меры и сфокусироваться на критически важных, что обеспечило достижение целевого уровня без внедрения дорогостоящих средств защиты. Полученное заключение признается всеми финансовыми организациями, поэтому заказчику больше не нужно повторно проходить оценку для каждого нового банка — это прямая экономия бюджета в будущем.