Требования к кибербезопасности для банков и финансовых компаний в Грузии и место ISO 27001
Грузинские банки работают в рамках нескольких пересекающихся наборов правил. ISO/IEC 27001 не заменяет ни один из них, но хорошо выстроенная СМИБ может обеспечить большую часть требуемых ими доказательств.
Требования Национального банка Грузии
Основной отраслевой документ это Положение о системе управления кибербезопасностью коммерческих банков, утверждённое приказом Национального банка Грузии (НБГ) № 56/04 от 22 марта 2019 года. Оно построено по структуре рамочной основы кибербезопасности NIST (NIST CSF): идентификация, защита, обнаружение, реагирование и восстановление. Согласно отчёту МВФ о технической помощи Грузии, опубликованному в декабре 2024 года, эта система требований включает:
- ежегодную самооценку и ежегодный независимый аудит, охватывающий все компоненты системы, с указаниями НБГ о порядке уведомления о таких аудитах и ротации аудиторов;
- не менее одного теста на проникновение в год для систем, подключённых к сети;
- правила обмена информацией об инцидентах, принятые в 2023 году, по которым о значительных инцидентах сообщается в НБГ в течение 24 часов с последующим подробным отчётом;
- отдельную систему требований к кибербезопасности для микробанков, выпущенную в 2023 году, и руководство 2023 года по передаче критичных или важных функций в облако.
В том же отчёте НБГ рекомендовано перейти к более широкому руководству по рискам ИКТ и киберрискам с учётом ISO/IEC 27001:2022, актуальных рекомендаций NIST и европейского регламента DORA. Банкам стоит следить за сообщениями НБГ об обновлениях, а не считать текст 2019 года окончательным.
Закон «Об информационной безопасности»
Закон Грузии «Об информационной безопасности» в редакции 2021 года делит субъектов критических информационных систем на три категории. Государственные органы относятся к ведению Оперативно-технического агентства. Частные организации, например банки, образуют третью категорию, надзор за которой осуществляет Агентство цифрового управления Министерства юстиции. По данным МВФ, три системно значимых банка отнесены к этой категории, а ожидания агентства в их отношении основаны на семействе стандартов ISO/IEC 27000. Банку в таком положении приходится одновременно удовлетворять регулятора, опирающегося на NIST, и агентство, опирающееся на ISO.
Персональные данные
Коммерческие банки, страховщики, микрофинансовые организации и кредитные бюро обязаны назначить ответственного за защиту данных по Закону Грузии «О защите персональных данных». Инциденты с персональными данными необходимо регистрировать и, когда это требуется, в течение 72 часов уведомлять о них Государственную аудиторскую службу, которая в марте 2026 года приняла надзорные функции от Службы по защите персональных данных. Таким образом, в вашем процессе реагирования на инциденты действуют два регуляторных срока: срок НБГ и срок по защите данных.
Как ISO 27001 помогает грузинскому банку
СМИБ даёт одну оценку рисков, один набор мер и один цикл улучшения, которые можно сопоставить со всеми перечисленными требованиями.
- Одно сопоставление. В приложении А к ISO/IEC 27001:2022 93 меры. Сопоставьте их с функциями NIST CSF, на которых основано положение НБГ, и с требованиями агентства. Тогда у каждой меры будет один владелец и один набор доказательств.
- Используйте оценку рисков для самооценки НБГ. Реестр рисков СМИБ и положение о применимости дают большую часть исходных данных для ежегодной самооценки.
- Согласуйте управление инцидентами. Одна процедура с критериями классификации, этапом уведомления НБГ в течение 24 часов и этапом уведомления по защите данных в течение 72 часов.
- Контроль поставщиков и облачных услуг. Меры ISO 27001 по работе с поставщиками и меры для облачных сервисов из ISO/IEC 27017 поддерживают выполнение облачного руководства НБГ.
- Тестирование. Ежегодный тест на проникновение становится исходными данными для обработки рисков в СМИБ, а не отдельным документом.
- Непрерывность. Требования к восстановлению легче подтвердить с системой менеджмента непрерывности бизнеса по ISO 22301.
Одно предостережение: независимый аудит по требованиям НБГ и сертификационный аудит ISO 27001 это не одно и то же. Аккредитованный сертификат ISO сам по себе не выполняет требование НБГ об аудите. Польза в том, что оба аудита опираются на одни и те же хорошо организованные доказательства.
Финансовые компании, на которые не распространяются требования НБГ к кибербезопасности
МВФ отметил, что на момент его обзора требования НБГ к кибербезопасности применялись только к коммерческим банкам и микробанкам. Поставщики платёжных услуг, страховщики, микрофинансовые организации и финтех-компании всё равно несут обязательства по защите персональных данных, получают договорные требования от банков-партнёров и платёжных систем и проходят проверки иностранных инвесторов. Для них ISO 27001 часто самый практичный способ ответить на всё это одним сертификатом. Компаниям, которые хранят, обрабатывают или передают данные карт, нужно также подтверждение соответствия PCI DSS: оно оформляется опросником для самооценки и свидетельством о соответствии либо отчётом о соответствии, подготовленным QSA, со сканированиями ASV. Сертификата PCI DSS не существует; подробнее на нашей странице PCI DSS.
Что BALTUM делает для финансовых организаций
Мы сопоставляем ваши текущие меры с требованиями НБГ, требованиями агентства там, где они применимы, законом о персональных данных и ISO/IEC 27001:2022 и даём единый сводный перечень несоответствий. Затем помогаем построить СМИБ, подготовить документы и доказательства, обучить персонал, провести внутренний аудит и сопровождаем сертификационный аудит в аккредитованном органе по сертификации. Область и план определяются после первичной оценки. Подробнее о стандарте: ISO 27001.
Эта статья является обзором для ориентации и не является юридической консультацией. Чтобы обсудить ваш банк или финансовую компанию, воспользуйтесь формой на этом сайте или напишите на info@baltum.org.
Частые вопросы
Требует ли Национальный банк Грузии сертификации по ISO 27001?
Положение НБГ о кибербезопасности коммерческих банков основано на рамочной основе кибербезопасности NIST и не требует сертификации по ISO 27001. Тем не менее многие банки используют СМИБ по ISO 27001, чтобы упорядочить доказательства, которые запрашивают НБГ и другие органы.
Может ли одна СМИБ охватить требования НБГ и закон о персональных данных?
Да. Реестр законодательных требований, оценка рисков и процедура реагирования на инциденты могут включать и то и другое, с отдельными этапами уведомления НБГ и Государственной аудиторской службы.
