Требования Банка России к операционной надёжности

Зачем вам требования Банка России

Финансовой организации их не выбирают — их выполняют. Всем остальным этот контур интересен по другой причине: это самый проработанный в России набор требований к тому, чтобы услуга не останавливалась, и он опирается на действующие стандарты, которые может прочитать кто угодно.

И сразу главное, ради чего стоит проверить свои документы: номера, которые все помнят, устарели. Положение № 787-П о требованиях к операционной надёжностиОперационная надёжностьСпособность организации оказывать услугу непрерывно, в том числе когда что-то пошло не так: сбой, атака, отказ поставщика.Положение Банка России от 13.01.2025 № 850-П отменено — с 2025 года действует Положение № 850-П12. А Положение № 719-П, которое часто называют в том же ряду, было не про операционную надёжность вовсе и тоже утратило силу3.

Нужен, если вы банк, иностранный банк с филиалом в России или некредитная финансовая организация. Это обязанность, а не выбор.

Нужен, если вы поставщик для финансового рынка. Требования доходят до подрядчиков через договоры, и знать, откуда они растут, дешевле, чем узнавать на аудите заказчика.

Нужен, если вам нужен русскоязычный ориентир по непрерывности услугУслугаСпособ дать потребителю нужный результат, не перекладывая на него управление затратами и рисками.ITIL 4, книга ITIL Foundation. Четыре части ГОСТ Р 57580 действуют и открыты для чтения — в них состав мер расписан подробнее, чем в большинстве международных сводов4.

Не нужен, если вы вне финансового рынка и ищете рамку управления ИТ. Контур узкий: операционная надёжность, защита информации, операционный риск. Управление услугами, изменениями и людьми в нём не описано.

Честная оговорка о том, чего на этой странице нет. Здесь нет пересказа положений и перечней мер: тексты опубликованы Банком России и Росстандартом, ссылки ниже. Здесь разбор — что действует сегодня, что отменено, как связаны положения и стандарты и где на этом спотыкаются.

Что действует сегодня

Контур состоит из двух слоёв: нормативного — положения Банка России, и технического — стандарты, на которые положения опираются.

Технический слой — четыре части ГОСТ Р 57580, все действуют4.

Связь между слоями стандарт описывает сам: он «служит для целей содействия соблюдения требований и рассматривается в качестве дополнения к нормативным актам Банка России»4. То есть положение говорит, что обязано быть достигнуто, а стандарт — какими мерами это делают. Разработчик стандартов — сам Банк России через профильный технический комитет4.

Где легко ошибиться с номерами

Реестр правовых актов на сайте регулятора отстаёт от раздела официального опубликования: в нём по-прежнему числится отменённое положение и отсутствует действующее5. Проверять номер стоит именно в разделе официального опубликования, а не в общем списке — иначе можно сослаться на документ, которого уже нет.

Ключевые понятия

Операционная надёжность. Не синоним доступности и не то же самое, что защита информации. Речь о способности организации оказывать услугу непрерывно — в том числе когда что-то пошло не так: сбой, атака, отказ поставщика.

Операционный рискОперационный рискРиск потерь из-за отказов процессов, систем, людей или внешних событий — рамка, внутри которой живёт операционная надёжность.ГОСТ Р 57580.3-2022, управление риском реализации информационных угроз. Рамка, внутри которой живёт надёжность: требования к управлению им устанавливаются отдельным актом, и стандарты прямо ссылаются на эту связку4.

Уровни защитыУровни защитыНесколько наборов мер разной строгости; какой применять — зависит от организации и вида её деятельности.ГОСТ Р 57580.1-2017, базовый состав организационных и технических мер. Стандарт задаёт не один набор мер, а несколько уровней; какой из них применять, зависит от организации и вида деятельности4. Отсюда практическое следствие: «соответствовать ГОСТ 57580» без указания уровня — фраза без содержания.

Оценка соответствия. Отдельная часть стандарта описывает методику оценки — то есть способ проверить, выполнены ли меры, и получить сопоставимый результат4.

Что покрывает — и чего не покрывает

Вопрос задан каждой практике справочника: устанавливает ли этот контур требования к такой работе.

Управление услугами, изменениями, знаниями и людьми контур не описывает — он про надёжность, риск и защиту. Это его границы, а не пробел.

Где ломается применение

Ссылаются на отменённые положения. Номера 787-П и 719-П прочно осели в презентациях, договорах и чек-листах. Первое отменено, второе к теме никогда и не относилось23.

Считают, что стандарт заменяет положение. Стандарт — дополнение к нормативным актам, а не замена: обязанность берётся из положения4.

Заявляют соответствие без уровня. Уровней защиты несколько, и без указания, о каком идёт речь, утверждение о соответствии проверить невозможно.

Путают надёжность с безопасностью. Меры пересекаются, но цели разные: защита информации отвечает за сохранность и конфиденциальность, операционная надёжность — за то, что услуга продолжает оказываться.

Где взять первоисточник и сколько стоит

Бесплатно и полностью. Положения публикуются в разделе официального опубликования нормативных актов Банка России, стандарты открыты для чтения на портале Росстандарта14.

Одна оговорка о качестве файлов: тексты положений выложены так, что машинному чтению поддаются плохо — у одних нет текстового слоя, у других он извлекается искажённым. На разбор это не влияет: все факты здесь подтверждены по страницам-описаниям и реестрам, а не по содержимому файлов.

Сертификация и проверки

Сертификации организаций по этому контуру нет — есть надзор регулятора и оценка соответствия по методике стандарта. Проверяют не сертификат, а выполнение требований, и результат оценки живёт внутри отношений с регулятором, а не на витрине.

С чего начать

1. Проверьте, какой документ относится к вам: кредитная организация — Положение № 850-П, некредитная финансовая — № 779-П.
2. Выпишите из своих договоров и внутренних документов все ссылки на положения Банка России и сверьте номера с разделом официального опубликования.
3. Определите уровень защиты, который применяется к вашей организации, — без него разговор о соответствии стандарту не имеет смысла.
4. Прочитайте четвёртую часть стандарта: там базовый состав мер обеспечения операционной надёжности, и он полезен даже вне финансового рынка.

Что читать дальше

Три свода рядом: второй российский регулятор со своими требованиями, международный стандарт по защите информации и стандарт непрерывности деятельности.