851-П вместо 683-П: что изменилось для банков

С 29 марта 2025 года Положение Банка России № 683-П не действует. Его место заняло Положение № 851-П от 30 января 2025 года: в пункте 16 нового документа прямо сказано, что 683-П признаётся утратившим силу.

Для служб информационной безопасности это значит, что ссылки в регламентах, договорах с подрядчиками и планах проверок указывают на отменённый акт.

Разбираем, что поменялось и как теперь выглядит обязанность проводить тестирование на проникновение.

Что произошло

Положение № 851-П опубликовано 18 марта 2025 года и вступило в силу по истечении десяти дней после опубликования. Отдельные его пункты вводятся позже: часть с 1 октября 2025 года, часть с 1 января 2027 года.

Вместе с 683-П утратило силу и Указание Банка России от 6 декабря 2023 года № 6620-У, которым в него вносились изменения.

Название нового положения почти повторяет старое, но охват шире: требования распространяются и на филиалы иностранных банков, работающих в России.

Кого это касается

Обязанность проводить тестирование на проникновение и анализ уязвимостей закреплена не в одном документе. Банк России перечислил их сам, в пункте 1.1 Методических рекомендаций № 2-МР от 22 января 2025 года.

1. Положение № 851-П

   Кредитные организации и филиалы иностранных банков. Действует с 29 марта 2025 года вместо 683-П

2. Положение № 757-П

   Некредитные финансовые организации с усиленным или стандартным уровнем защиты информации

3. Положение № 821-П

   Участники переводов денежных средств

4. Положение № 808-П

   Бюро кредитных историй, кредитные рейтинговые агентства и лица, оказывающие профессиональные услуги на финансовом рынке

Что попадает под проверку

Пункт 1.2 Методических рекомендаций отвечает на главный практический вопрос: что именно попадает под проверку. Это всё, что компания раздаёт клиентам и что принимает электронные сообщения из интернета.

• веб-приложения дистанционного банковского обслуживания для физических и юридических лиц;
• веб-приложения личных кабинетов клиентов некредитных финансовых организаций;
• мобильные приложения ДБО для разных мобильных операционных систем;
• специализированные клиентские приложения ДБО и личных кабинетов;
• автоматизированные системы, участвующие во взаимодействии с ДБО, включая интеграционные системы и API;
• серверы приложений и серверы систем управления базами данных.

Список закрытый и конкретный. Если в границы тестирования не попало мобильное приложение или API, по которому ходят платёжные поручения, проверка проведена не полностью.

Как проводить

Пункт 2.1: проводить рекомендуется и внешнее тестирование (имитация действий внешнего нарушителя), и внутреннее (имитация действий внутреннего). Не одно из двух, а оба.

Пункт 2.2 называет три метода: «чёрный ящик», когда исполнитель ничего не знает об инфраструктуре, «серый ящик» с частичной информацией и «белый ящик» с полной.

Пункт 2.3 перечисляет источники, по которым идентифицируют уязвимости: банк данных угроз ФСТЭК России, CAPEC, MITRE ATT&CK, OWASP, STIX, WASC, CWE, CVE. Это тот случай, когда регулятор прямо назвал методики, и ссылка на них в отчёте работает в вашу пользу.

Пункт 2.7: после устранения уязвимостей рекомендуется провести повторное тестирование. Для объектов, где уязвимостей не нашли, повтор не нужен.

Документы до начала работ

Пункт 1.7 перечисляет, что должно быть готово до начала работ. Это часть, о которой чаще всего забывают, а именно её проверяют первой.

• техническое задание на проведение работ;
• соглашение об ответственности сторон;
• модель угроз информационной безопасности по методике ФСТЭК России от 5 февраля 2021 года;
• планы восстановления операционной надёжности на случай нештатных ситуаций во время тестирования.

Пункт 1.8 подробно описывает, что отразить в техническом задании: наименование и этапы работ, сроки, цели, перечень нормативных актов, во исполнение которых проводится тестирование, перечень объектов с указанием технологических участков.

Отдельно рекомендуется указать объекты, которые входят в границы, но тестироваться не будут, с причиной. Например, ограничение пропускной способности канала или узкое окно, в которое можно работать.

Своими силами или подрядчиком

Банк России допускает оба варианта: своими силами по главе 4 или с привлечением подрядчика по главе 5. Но условия у них разные.

Если компания тестирует себя сама, рекомендуется выделить отдельное подразделение или работников (пункт 4.2) и не возлагать на них функции по обеспечению информационной безопасности тех же объектов (пункт 4.3). Проверяющий и проверяемый не должны совпадать.

Назначить рекомендуется не менее двух работников с опытом тестирования не менее трёх лет и ежегодно отправлять их на повышение квалификации (пункт 4.4).

Требования к подрядчику

Для подрядчика пункт 5.1 задаёт три критерия:

• действующая лицензия на техническую защиту конфиденциальной информации по подпункту «б» пункта 4 Положения о лицензировании, утверждённого постановлением Правительства Российской Федерации от 3 февраля 2012 года № 79;
• опыт тестирования на проникновение в организациях финансового рынка не менее трёх лет, подтверждённый не менее чем тремя завершёнными договорами;
• у привлекаемых специалистов - подтверждённый опыт пентестов не менее трёх лет.

Пункт 5.2: в договоре рекомендуется прямо указать, что работы проводятся в соответствии с нормативными актами Банка России из пункта 1.1.

Пункт 5.3: специалисты подрядчика и автоматизированные средства должны находиться на территории России.

Эти три критерия стоит проверять у любого исполнителя до подписания договора. Лицензию - по реестру ФСТЭК России, опыт - по договорам, а не по презентации.

Инциденты во время тестирования

Глава 6 добавляет то, о чём редко думают заранее. Инциденты защиты информации, связанные с самим тестированием, рекомендуется регистрировать (пункт 6.1).

А если организация обязана информировать Банк России об инцидентах, то сообщать нужно и о тех, что выявлены в ходе пентеста: причины, принятые меры, проведённые мероприятия по реагированию (пункт 6.2). Порядок и формы - по стандарту Банка России СТО БР БФБО-1.5-2023 (пункт 6.3).

Что делать сейчас

Замена 683-П на 851-П - это не только новый номер в шапке регламента. Проверьте документы, где старое положение упоминается: политику защиты информации, договоры с подрядчиками, техническое задание на пентест.

Методические рекомендации № 2-МР при этом не менялись и остаются рабочим документом: в них описано, что тестировать, какими методами, какие документы готовить и кого допускать к работам.