Страницы: 1 2
соответствующей системы оценки.
В договор (контракт) о поставке АБС и их компонентов организациям
БС РФ рекомендуется включать положения по сопровождению поставляемых
изделий на весь срок их службы. В случае невозможности включения в
договор (контракт) указанных требований к разработчику должна быть
рассмотрена возможность приобретения полного комплекта рабочей
конструкторской документации на изделие, обеспечивающего возможность
сопровождения АБС и их компонентов без участия разработчика. Если оба
указанных варианта неприемлемы, например, вследствие высокой
стоимости, руководство организации БС РФ должно обеспечить анализ
влияния угрозы невозможности сопровождения АБС и их компонентов на
обеспечение непрерывности бизнеса.
8.2.3.8. На стадии эксплуатации в соответствии с документом ISO
TR 13569 должна быть обеспечена защита от следующих угроз:
- умышленное несанкционированное раскрытие, модификация или
уничтожение информации;
- неумышленная модификация или уничтожение информации;
- недоставка или ошибочная доставка информации;
- отказ в обслуживании или ухудшение обслуживания.
Кроме этого, актуальной является угроза отказа от авторства
сообщения.
8.2.3.9. На стадии сопровождения должна быть обеспечена защита от
угроз:
- внесения изменений в АБС, приводящих к нарушению ее
функциональности либо к появлению недокументированных возможностей;
- невнесения разработчиком/поставщиком изменений, необходимых для
поддержки правильного функционирования и правильного состояния АБС.
8.2.3.10. На стадии снятия с эксплуатации должно быть обеспечено
удаление информации, несанкционированное использование которой может
нанести ущерб бизнес-деятельности организации, и информации,
используемой средствами обеспечения ИБ, из постоянной памяти АБС или с
внешних носителей.
8.2.3.11. Требования ИБ должны включаться во все договоры и
контракты на проведение работ или оказание услуг на всех стадиях ЖЦ
АБС.
8.2.4. Общие требования по обеспечению информационной
безопасности при управлении доступом и регистрации
8.2.4.1. При распределении прав доступа персонала и клиентов к
активам организации БС РФ следует руководствоваться специальным
принципом "знание своих клиентов и служащих" (см. п. 6.2.2),
выражаемым следующим образом:
- "знать своего клиента"8;
- "знать своего служащего"9;
- "необходимо знать"10,
а также руководствоваться принципом "двойное управление"11.
8.2.4.2. В составе АБС должны применяться встроенные механизмы
защиты информации, а также могут использоваться сертифицированные или
разрешенные к применению средства защиты информации от НСД.
8.2.4.3. В организации должны обеспечиваться: идентификация,
аутентификация, авторизация; управление доступом; контроль
целостности; регистрация, включая:
- функционирование системы парольной защиты электронных
вычислительных машин (ЭВМ) и локальных вычислительных сетей (ЛВС).
Рекомендуется организовать службу централизованной парольной защиты
для генерации, распространения, смены, удаления паролей, разработки
необходимых инструкций, контроля за действиями персонала по работе с
паролями;
- непротиворечивая и прозрачная административно-техническая
поддержка задач управления доступом к ресурсам ЭВМ и/или ЛВС.
Назначение/лишение полномочий по доступу сотрудников к ресурсам ЭВМ
и/или ЛВС санкционируется руководителем функционального подразделения
организации, несущего персональную ответственность за обеспечение ИБ в
данном подразделении;
- контроль доступа пользователей к ресурсам ЭВМ и/или ЛВС.
Оперативный контроль доступа пользователей осуществляется
подразделениями (лицами) в организации, ответственными за обеспечение
ИБ;
- формирование уникальных идентификаторов сообщений и
идентификаторов пользователей (виды идентификаторов определяются
особенностями конкретного технологического процесса);
- регистрация действий персонала и пользователей в специальном
электронном журнале. Данный электронный журнал должен быть доступным
для чтения, просмотра, анализа, хранения и резервного копирования
только администратору ИБ. При невозможности поддержки данного режима
эксплуатирующимися в организации БС РФ аппаратно-программными
средствами реализация данного требования должна быть обеспечена
организационными и/или административными мерами.
8.2.5. Общие требования по обеспечению информационной
безопасности средствами антивирусной защиты
8.2.5.1. В организации должны применяться только официально
приобретенные средства антивирусной защиты. Установка и регулярное
обновление средств антивирусной защиты на автоматизированных рабочих
местах и серверах АБС должны осуществляться администраторами АБС.
Лучшей практикой является автоматическая установка обновлений
антивирусного программного обеспечения.
8.2.5.2. При обеспечении антивирусной защиты в организации должны
быть разработаны и введены в действие инструкции по антивирусной
защите, учитывающие особенности банковских технологических процессов.
Особое внимание должно быть уделено антивирусной фильтрации трафика
электронного почтового обмена.
Лучшей практикой является построение эшелонированной
централизованной системы антивирусной защиты, предусматривающей
использование средств антивирусной защиты различных производителей и
их раздельную установку на рабочих станциях, почтовых серверах и
межсетевых экранах.
8.2.5.3. В ЭВМ и АБС не допускается присутствие и использование
программного обеспечения и данных, не связанных с выполнением
конкретных функций в банковских технологических процессах организации.
8.2.5.4. Устанавливаемое или изменяемое программное обеспечение
должно быть предварительно проверено на отсутствие вирусов. После
установки или изменения программного обеспечения должна быть выполнена
антивирусная проверка.
8.2.5.5. При обнаружении компьютерного вируса необходимо принять
меры по устранению последствий вирусной атаки, проинформировать
руководство и приостановить при необходимости работу (на период
устранения последствий вирусной атаки).
8.2.5.6. Отключение или необновление антивирусных средств не
допускается. Установка и обновление антивирусных средств в организации
должны контролироваться представителями подразделений (лицами) в
организации, ответственными за обеспечение ИБ.
8.2.5.7. Ответственность за выполнение требований инструкции по
антивирусной защите должна быть возложена на руководителя
функционального подразделения организации, а обязанности по выполнению
мер антивирусной защиты должны быть возложены на каждого сотрудника
организации, имеющего доступ к ЭВМ и/или АБС.
8.2.6. Общие требования по обеспечению информационной
безопасности при использовании ресурсов сети Интернет
8.2.6.1. Ресурсы сети Интернет в организации БС РФ могут
использоваться для ведения дистанционного банковского обслуживания
(например, Internet-banking), получения и распространения информации,
связанной с банковской деятельностью (путем создания информационных
web-сайтов), информационно-аналитической работы в интересах
организации, обмена почтовыми сообщениями исключительно с внешними
организациями, а также ведения собственной хозяйственной деятельности.
Иное использование ресурсов сети Интернет, решение о котором не
принято руководством организации в установленном порядке, должно
рассматриваться как нарушение ИБ.
При принятии руководством организации решений об использовании
сети Интернет для производственной и/или собственной хозяйственной
деятельности необходимо учитывать следующие положения:
- сеть Интернет не имеет единого органа управления (за
исключением службы управления пространством имен и адресов) и не
является юридическим лицом, с которым можно было бы заключить договор
(соглашение). Провайдеры (посредники) сети Интернет могут обеспечить
только те услуги, которые реализуются непосредственно ими;
- гарантии по обеспечению ИБ при использовании сети Интернет
никаким органом не предоставляются.
8.2.6.2. В организациях БС РФ, осуществляющих дистанционное
банковское обслуживание клиентов, в связи с повышенными рисками
информационной безопасности при взаимодействии с сетью Интернет
обязательно должны применяться соответствующие средства защиты
информации (межсетевые экраны, антивирусные средства, средства
криптографической защиты информации (СКЗИ) и пр.), обеспечивающие
прием и передачу информации только в установленном формате и только
для конкретной технологии. Хорошей практикой является выделение и
неподключение к внутренним сетям ЭВМ, с помощью которых осуществляется
взаимодействие с сетью Интернет.
8.2.6.3. Почтовый обмен через сеть Интернет должен осуществляться
с использованием защитных мер.
Хорошей практикой является наличие в организации ограниченного
количества точек почтового обмена с сетью Интернет, состоящих из
внешнего (подключенного к сети Интернет) и внутреннего (подключенного
к внутренним сетям организации) почтовых серверов с безопасной
системой репликации почтовых сообщений между ними (интернет-киоски).
8.2.6.4. Электронная почта должна архивироваться. Архив должен
быть доступен только подразделению (лицу) в организации,
ответственному за обеспечение ИБ. Изменения в архиве не допускаются.
Доступ к информации архива должен быть ограничен.
8.2.6.5. В организациях БС РФ наличие банковской информации на
ЭВМ, с помощью которых осуществляется взаимодействие с сетью Интернет
в режиме on-line, определяется бизнес-целями организации. При этом
необходимо учитывать высокую вероятность несанкционированного доступа,
потери и искажения данной информации. Хорошей практикой является
практика, когда ЭВМ, с помощью которых осуществляется взаимодействие с
сетью Интернет в режиме on-line, не содержат никакой банковской
информации (в т.ч. открытой).
8.2.6.6. При взаимодействии с сетью Интернет должно
обеспечиваться противодействие атакам хакеров и распространению
спама12.
8.2.6.7. Порядок подключения и использования ресурсов сети
Интернет в организации БС РФ должен контролироваться подразделениями
(лицами) в организации, ответственными за обеспечение ИБ. Любое
подключение и использование сети Интернет должно быть санкционировано
руководством функционального подразделения организации.
8.2.7. Общие требования по обеспечению информационной
безопасности при использовании средств криптографической защиты
информации
8.2.7.1. Средства криптографической защиты информации:
- должны допускать встраивание в технологическую схему обработки
электронных сообщений, обеспечивать взаимодействие с прикладным
программным обеспечением на уровне обработки запросов на
криптографические преобразования и выдачи результатов;
- должны поставляться разработчиками с полным комплектом
эксплуатационной документации, включая описание ключевой системы,
правила работы с ней, а также обоснование необходимого
организационно-штатного обеспечения;
- должны быть реализованы на основе алгоритмов, соответствующих
национальным стандартам РФ, условиям договора с контрагентом и(или)
стандартам организации;
- должны иметь строгий регламент использования ключей,
предполагающий контроль со стороны администратора ИБ организации за
действиями пользователя на всех этапах работы с ключевой информацией
(получение ключевого носителя, ввод ключей, использование ключей и
сдача ключевого носителя);
- должны обеспечивать реализацию процедур сброса ключей в случаях
отсутствия штатной активности пользователей в соответствии с
регламентом использования ключей или при переходе АБС в нештатный
режим работы;
- не должны содержать требований к ЭВМ по специальной проверке на
отсутствие закладных устройств, если иное не оговорено в технической
документации на конкретное средство защиты;
- не должны требовать дополнительной защиты от утечки по побочным
каналам электромагнитного излучения.
8.2.7.2. При применении СКЗИ в АБС должны поддерживаться
непрерывность процессов протоколирования работы СКЗИ и обеспечения
целостности программного обеспечения для всех звеньев АБС.
8.2.7.3. ИБ процессов изготовления ключевых документов СКЗИ
должна обеспечиваться комплексом технологических, организационных,
технических и программных мер и средств защиты.
8.2.7.4. Для повышения уровня безопасности при эксплуатации СКЗИ
и их ключевых систем в АБС хорошей практикой является реализация
процедуры мониторинга, регистрирующего все значимые события,
состоявшиеся в процессе обмена электронными сообщениями, и все
инциденты ИБ.
8.2.7.5. Внутренний порядок применения СКЗИ в АБС определяется
руководством организации и должен включать:
- порядок ввода в действие;
- порядок эксплуатации;
- порядок восстановления работоспособности в аварийных случаях;
- порядок внесения изменений;
- порядок снятия с эксплуатации;
- порядок управления ключевой системой;
- порядок обращения с носителями ключевой информации.
8.2.7.6. Ключи кодов аутентификации (КА) и/или электронной
цифровой подписи (ЭЦП) должны изготавливаться в каждой организации
самостоятельно. В случае изготовления ключей КА, ЭЦП для одной
организации в другой организации БС РФ согласие первой организации
считать данный ключ своим должно быть зафиксировано в договоре.
8.2.8. Общие требования по обеспечению информационной
безопасности банковских платежных технологических процессов
8.2.8.1. Система обеспечения информационной безопасности
банковского платежного технологического процесса должна
соответствовать требованиям пунктов 8.2.2-8.2.7 настоящего стандарта и
иных нормативных документов по вопросам информационной безопасности,
действие которых распространяется на банковскую систему Российской
Федерации.
8.2.8.2. В качестве объектов защиты должны рассматриваться:
- банковский платежный технологический процесс;
- платежная информация;
- технологический процесс по управлению ролями и полномочиями
сотрудников организации БС РФ, задействованных в обеспечении
банковского платежного технологического процесса.
8.2.8.3. Банковский платежный технологический процесс должен быть
однозначно определен (отражен) в нормативно-методических документах
организации БС РФ.
8.2.8.4. Порядок обмена платежной информацией должен быть
зафиксирован в договорах между участниками, осуществляющими обмен
платежной информацией. В роли участников могут выступать организации
БС РФ, юридические и физические лица.
8.2.8.5. Сотрудники организации БС РФ, в том числе администраторы
автоматизированных систем и средств защиты информации, не должны
обладать всей полнотой полномочий для бесконтрольного создания,
авторизации, уничтожения и изменения платежной информации, а также
проведения операций по изменению состояния банковских счетов.
8.2.8.6. Результаты технологических операций по обработке
платежной информации должны быть контролируемы (проверены) и
удостоверены лицами/автоматизированными процессами.
Лица/автоматизированные процессы, осуществляющие обработку платежной
информации и контроль (проверку) результатов обработки, должны быть
независимы друг от друга.
8.2.8.7. При работе с платежной информацией необходимо проводить
авторизацию и контроль целостности данной информации.
Лучшей практикой при автоматизированной обработке платежной
информации является оснащение средств вычислительной техники (на
которых осуществляются операции над платежной информацией)
сертифицированными или разрешенными руководителем организации БС РФ к
применению средствами защиты от НСД и средствами криптографической
защиты информации.
8.2.8.8. Подготовленная клиентами организации БС РФ платежная
информация, на основании которой совершаются расчетные, учетные и
кассовые операции, предназначена для внутреннего использования в
организации БС РФ и может быть передана иным организациям только в
соответствии с действующим законодательством Российской Федерации.
Указанная информация относится к категории строгой отчетности.
Ограничительные пометки (грифы) "Для служебного пользования",
"Конфиденциально" или "Банковская тайна" на документы, содержащие
данную информацию, не проставляются.
Безопасность информации, отнесенной к банковской тайне,
обеспечивается в соответствии со статьей 26 Федерального закона "О
банках и банковской деятельности".
8.2.8.9. Обязанности по администрированию средств защиты
платежной информации для каждого технологического участка ее
прохождения возлагаются приказом по организации БС РФ на сотрудников
(сотрудника), задействованных на данном технологическом участке
(администраторов информационной безопасности), с отражением этих
функций в его должностных обязанностях.
Администратор информационной безопасности должен действовать на
основании соответствующего нормативного документа, разработанного в
организации БС РФ и утвержденного руководством организации БС РФ.
Хорошей практикой является назначение денежной надбавки
администратору информационной безопасности к его должностному окладу.
8.2.8.10. Комплекс мер по обеспечению информационной безопасности
банковского платежного технологического процесса должен
предусматривать:
- защиту платежной информации от искажения, фальсификации,
переадресации, несанкционированного уничтожения, ложной авторизации
платежных документов;
- минимально необходимый, гарантированный доступ сотрудника
организации БС РФ только к тем ресурсам банковского платежного
технологического процесса, которые необходимы ему для исполнения
служебных обязанностей или реализации прав, предусмотренных
технологией обработки платежной информации;
- контроль (мониторинг) исполнения установленной технологии
подготовки, обработки, передачи и хранения платежной информации;
- аутентификацию обрабатываемой платежной информации;
- двустороннюю аутентификацию автоматизированных рабочих мест,
участников обмена платежной информацией;
- восстановление платежной информации в случае ее умышленного
(случайного) разрушения (искажения) или выхода из строя средств
вычислительной техники;
- авторизованный ввод платежной информации в автоматизированные
банковские системы двумя сотрудниками с последующей программной
сверкой результатов ввода на совпадение (Dual Control, ISO TR 13569);
- сверку выходных платежных сообщений с соответствующими
поступившими платежными сообщениями;
- гарантированную доставку платежных сообщений участникам обмена.
8.2.8.11. Организации БС РФ - члены международных платежных
систем с использованием банковских карт должны обеспечивать выполнение
требований данных систем по информационной безопасности.
8.2.9. Общие требования по обеспечению информационной
безопасности банковских информационных технологических процессов
8.2.9.1. Система обеспечения информационной безопасности
банковского информационного технологического процесса должна
соответствовать требованиям пунктов 8.2.2-8.2.7 настоящего стандарта и
иных нормативных документов по вопросам информационной безопасности,
действие которых распространяется на БС РФ.
8.2.9.2. В организации БС РФ неплатежная информация
классифицируется как:
- открытая информация, предназначенная для официальной передачи
во внешние организации и средства массовой информации;
- внутренняя банковская информация, предназначенная для
использования исключительно сотрудниками организации БС РФ при
выполнении ими своих служебных обязанностей;
- информация, содержащая сведения ограниченного распространения в
соответствии с утвержденным организацией БС РФ Перечнем, подлежащая
защите в соответствии с законодательством РФ, например, банковская
тайна, персональные данные;
- информация, полученная из федеральных органов исполнительной
власти и содержащая сведения ограниченного распространения;
- информация, содержащая сведения, составляющие государственную
тайну.
Каждому виду информации соответствует свой необходимый уровень
защиты (свой набор требований по защите).
Так как требования по защите двух последних видов информации
определяются государственными нормативно-методическими документами, то
вопросы обеспечения защиты информации, содержащей указанные сведения,
в настоящем стандарте не рассматриваются. Автоматизированные системы
организации БС РФ, обрабатывающие, хранящие и/или передающие такую
информацию, должны быть физически изолированы от прочих
автоматизированных систем данной организации.
8.2.9.3. В качестве объектов защиты должны рассматриваться:
- информационные ресурсы;
- управляющая информация АБС;
- банковский информационный технологический процесс.
8.2.9.4. Организация БС РФ несет ответственность за:
- достоверность информации, официально предоставляемой внешним
организациям и гражданам;
- достоверность и выполнение регламента предоставления внешним
организациям и гражданам информации, обязательность и порядок
предоставления которой определены законодательством Российской
Федерации и/или нормативными документами Банка России;
- обеспечение соответствующего законодательству Российской
Федерации уровня защиты как собственной информации, так и информации,
официально полученной из внешних организаций и от граждан.
8.2.9.5. Если в АБС обрабатывается информация, требующая по
решению руководства защиты, то соответствующим распоряжением должен
быть назначен администратор информационной безопасности. Допускаются
назначение одного администратора информационной безопасности на
несколько АБС, а также совмещение выполнения указанных функций с
другими обязанностями.
При этом совмещение в одном лице функций администратора АБС и
администратора информационной безопасности АБС не допускается.
8.2.9.6. Администратор АБС не должен иметь служебных полномочий
(а при возможности и технических средств) по настройке параметров
системы, влияющих на полномочия пользователей по доступу к информации.
Однако он должен иметь право добавить в систему нового пользователя
без всяких полномочий по доступу к информации, а также удалить из
системы такого пользователя.
Администратор информационной безопасности АБС должен иметь
служебные полномочия и технические возможности по контролю действий
соответствующих администраторов АБС (без вмешательства в их действия)
и пользователей, а также полномочия (а при возможности и технические
средства) по настройке для каждого пользователя только тех параметров
системы, которые определяют права доступа к информации.
Устанавливаемые права доступа к информации должны назначаться
подразделением организации БС РФ, ответственным за эту информацию
(владельцем информационного актива).
Администратор информационной безопасности не должен иметь права
добавить нового пользователя в АБС, а также удалить из нее
существующего пользователя.
В случае отсутствия у администратора информационной безопасности
технических возможностей по настройке параметров АБС, влияющих на
полномочия пользователей по доступу к информации, эти настройки
выполняются администратором АБС, но с обязательным предварительным
согласованием устанавливаемых прав доступа пользователей к информации
с администратором информационной безопасности.
Для каждой АБС должен быть определен порядок контроля ее
функционирования со стороны лиц, отвечающих за ИБ.
8.2.9.7. Процессы подготовки, ввода, обработки и хранения
информации, а также порядок установки, настройки, эксплуатации и
восстановления необходимых технических и программных средств должны
быть регламентированы и обеспечены инструктивными и методическими
материалами, согласованными со службой информационной безопасности.
8.2.9.8. Должна осуществляться и быть регламентирована процедура
периодического тестирования всех реализованных программно-техническими
средствами функций (требований) по обеспечению ИБ. Регламентирующие
документы должны быть согласованы со службой ИБ.
8.2.9.9. Должна осуществляться и быть регламентирована процедура
восстановления всех реализованных программно-техническими средствами
функций по обеспечению ИБ. Регламентирующие документы должны быть
согласованы со службой ИБ.
9. Система менеджмента информационной безопасности
организации БС РФ
9.1. Планирование СМИБ
Для успешного функционирования СМИБ организации БС РФ следует
реализовать следующие процессы:
а) определение/уточнение области действия СМИБ и выбор подхода к
оценке рисков ИБ. Определение/уточнение области действия СМИБ должно
осуществляться на основе результатов оценки операционных рисков, а
также оценки репутационных и правовых рисков деятельности организации
БС РФ;
б) анализ и оценка рисков ИБ, варианты обработки рисков ИБ для
наиболее критичных информационных активов и бизнес-процессов
организации. При анализе и оценке рисков ИБ должны использоваться
положения раздела 7 настоящего стандарта;
в) определение/уточнение политики для СМИБ организации;
г) выбор/уточнение целей ИБ и защитных мер и их обоснование для
минимизации рисков ИБ. Цели ИБ и защитные меры могут быть выбраны на
основе раздела 8 настоящего стандарта, а дополнительно на основе:
1) международного стандарта ISO/IEC IS 27001-2005 или положений
международного стандарта ISO/IEC IS 17799-2005, обеспечивающего
большую детализацию;
2) стандартов ISO TR 13569, COBIT, BSI PAS 56 и других руководств
по обеспечению информационной безопасности;
3) ГОСТ Р ИСО/МЭК 15408-1ч3-2002 в части требований к продуктам
информационных технологий;
4) стандартов ISO/IEC TR 18028, ISO/IEC TR 18043, ISO/IEC TR
18044 и других стандартов для отдельных областей обеспечения ИБ.
Обоснование по обработке рисков с учетом применения защитных мер
должно быть подготовлено в виде отдельного документа (аналогичного
документу "Statement of applicability" по ISO/IEC IS 27001),
являющегося основой для разработки плана обработки рисков ИБ;
д) принятие менеджментом организации БС РФ остаточных рисков и
решения о реализации и эксплуатации/совершенствовании СМИБ. Остаточные
риски ИБ должны быть соотнесены с рисками банковской деятельности и
оценено их влияние на достижение целей деятельности организации БС РФ.
9.2. Реализация и эксплуатация СМИБ
Организации БС РФ следует реализовать следующие процессы:
а) разработка плана обработки рисков ИБ;
б) реализация плана обработки рисков ИБ и реализация защитных
мер, управление работами и ресурсами, связанными с реализацией СМИБ;
в) реализация программ по обучению и осведомленности ИБ.
Реализация процесса по обучению и осведомленности ИБ должна
обеспечиваться с учетом требований раздела 8 международного стандарта
ISO/IEC IS 17799-2005;
г) обнаружение и реагирование на инциденты безопасности.
Реализация процесса обнаружения и реагирования на инциденты
безопасности должна обеспечиваться с учетом требований раздела 13
международного стандарта ISO/IEC IS 17799-2005 и технического отчета
ISO/IEC TR 18044;
д) обеспечение непрерывности бизнеса и восстановления после
прерываний. Обеспечение непрерывности бизнеса и восстановления после
прерываний должны обеспечиваться с учетом требований раздела 14
международного стандарта ISO/IEC IS 17799-2005 и положений BSI PAS-56.
9.3. Проверка (мониторинг и анализ) СМИБ
Процессы мониторинга и анализа СМИБ организации должны быть
интегрированы в систему внутреннего контроля организаций БС РФ.
Организации следует реализовать следующие процессы мониторинга и
анализа СМИБ:
а) мониторинг и контроль защитных мер, включая регистрацию
действий и событий, связанных со СМИБ;
б) анализ эффективности СМИБ, включая анализ уровней остаточного
и приемлемого рисков ИБ;
в) внутренний аудит СМИБ;
г) анализ СМИБ со стороны высшего руководства;
д) проведение периодического внешнего аудита СМИБ.
9.4. Совершенствование СМИБ
Организации следует реализовать следующие процессы:
а) реализация тактических улучшений в СМИБ, осуществляемых в
рамках полномочий служб (ответственных) ИБ организации;
б) реализация стратегических улучшений СМИБ, требующих принятия
решений на уровне руководства организации и инициирования процессов
планирования СМИБ. Использование опыта;
в) информирование об изменениях и их согласование с
заинтересованными сторонами;
г) оценка достижения поставленных целей и потребностей в развитии
СМИБ.
9.5. Система документации
Организации следует использовать систему менеджмента документации
для СМИБ. Документы в данной системе необходимо соответствующим
образом защищать и контролировать. Данная система должна также
включать любые записи, которые создаются или поддерживаются для
обеспечения свидетельств эффективной работы СМИБ.
9.6. Обеспечение непрерывности бизнеса (деятельности)
и восстановление после прерываний
Организации следует разработать и внедрить план обеспечения
непрерывности бизнеса (деятельности) и восстановления после
прерываний. Данный план и соответствующие процессы восстановления
должны пересматриваться на регулярной основе и своевременно
обновляться (например, при существенных изменениях в операционной
деятельности, организационной структуре, бизнес-процессах и
автоматизированных банковских системах). Эффективность
документированных процедур восстановления необходимо периодически
проверять и тестировать (как минимум на полугодовой основе). С данным
планом должны быть ознакомлены все сотрудники, отвечающие за его
выполнение и вовлеченные в процессы восстановления.
В качестве методологической основы при разработке плана могут
быть использованы общепринятые международные стандарты, регулирующие
вопросы менеджмента непрерывности бизнеса (например, BSI PAS-56).
9.7. Служба информационной безопасности
(уполномоченное лицо) организации БС РФ
9.7.1. Для реализации задач развертывания и эксплуатации СМИБ
организации рекомендуется иметь в своем составе (самостоятельную или в
составе службы безопасности) службу ИБ (уполномоченное лицо). Службу
ИБ (уполномоченное лицо) рекомендуется наделить следующими
полномочиями:
- управлять всеми планами по обеспечению ИБ организации;
- разрабатывать и вносить предложения по изменению политики ИБ
организации;
- изменять существующие и принимать новые нормативно-методические
документы по обеспечению ИБ организации;
- выбирать средства управления и обеспечения ИБ организации;
- контролировать пользователей, в первую очередь пользователей,
имеющих максимальные полномочия;
- контролировать активность, связанную с доступом и
использованием средств антивирусной защиты, а также связанную с
применением других средств обеспечения ИБ;
- осуществлять мониторинг событий, связанных с ИБ;
- расследовать события, связанные с нарушениями ИБ, и в случае
необходимости выходить с предложениями по применению санкций в
отношении лиц, осуществивших противоправные действия, например,
нарушивших требования инструкций, руководств и т.п. по обеспечению ИБ
организации;
- участвовать в действиях по восстановлению работоспособности АБС
после сбоев и аварий;
- создавать, поддерживать и совершенствовать систему управления
ИБ организации.
Хорошей практикой является создание службы ИБ и выделение ей
своего собственного бюджета.
Хорошей практикой является, когда служба ИБ организации имеет
собственного куратора на уровне Первого лица в руководстве организации
БС РФ (Председателя или заместителя Председателя правления и т.п.).
При этом служба ИБ и служба информатизации (автоматизации) не должны
иметь общего куратора.
9.7.2. Организационная основа менеджмента ИБ в организациях
должна определяться целями бизнеса организации на финансовом рынке,
размерами организации, наличием сети филиалов и другими факторами.
Организациям, имеющим сеть филиалов или региональных
представительств, рекомендуется выделить соответствующие подразделения
ИБ на местах, обеспечив их соответствующими ресурсами и нормативной
базой.
10. Проверка и оценка информационной
безопасности организации БС РФ
10.1. Проверка и оценка ИБ организации может быть произведена с
помощью аудита, самооценки и мониторинга ИБ.
10.2. Аудит ИБ организации БС РФ может быть внутренним или
внешним (см. п. 7.3.4). Цель, порядок и периодичность проведения
аудитов ИБ организации в целом (или ее отдельных структурных
подразделений) или АБС определяется руководством организации на основе
потребностей в такой деятельности и фиксируется в программе аудита ИБ.
10.3. Цель аудита ИБ организации состоит в проверке и оценке
соответствия ИБ требованиям настоящего стандарта. Заключение по
результатам проведения аудита ИБ организации должно показывать:
- текущий уровень ИБ организации;
- уровень зрелости процессов менеджмента ИБ организации;
- уровень осознания ИБ организации.
10.4. При проведении аудита ИБ организации должны использоваться
стандартные процедуры документальной проверки, опрос и интервью с
руководством и персоналом организации. При необходимости уточнения
результатов документальной проверки, опросов и интервью в рамках
внутреннего аудита ИБ в качестве дополнительного способа может
применяться "проверка на месте", которая проводится для обеспечения
уверенности в том, что конкретные защитные меры реализуются, правильно
используются и проверяются с помощью тестирования. Обстоятельства, при
которых требуется дополнительный способ в рамках внутреннего аудита
ИБ, должны быть определены и согласованы в плане проведения аудита ИБ
в организации.
10.5. При проведении внутреннего аудита ИБ могут использоваться
журналы регистрации инцидентов ИБ, ведущиеся службами безопасности
организации и формируемые на основе данных мониторинга ИБ.
10.6. При проведении внешнего аудита ИБ руководство организации
должно обеспечить документальное и, если это необходимо, техническое
подтверждение того, что:
- политика ИБ отражает требования бизнеса и цели организации;
- организационная структура управления ИБ создана;
- процессы выполнения требований ИБ исполняются и удовлетворяют
поставленным целям;
- защитные меры (например, межсетевые экраны, средства управления
физическим доступом) настроены и используются правильно;
- остаточные риски оценены и остаются приемлемыми для
организации;
- система управления ИБ соответствует определенному уровню
зрелости управления ИБ;
- рекомендации предшествующих аудитов ИБ реализованы.
10.7. Аудиторский отчет должен храниться в организации в течение
установленного времени. Доступ к аудиторскому отчету должен быть
разрешен только руководству организации и руководителям подразделения
(лицам), ответственным за ИБ в организации.
10.8. Хорошей практикой подготовки к аудиту ИБ и проверки уровня
ИБ организации БС РФ является проведение самооценки ИБ. Самооценка ИБ
проводится собственными силами и по инициативе руководства
организации. При проведении самооценки ИБ должны использоваться
журналы регистрации инцидентов ИБ, ведущиеся службами безопасности
организации и формируемые на основе данных мониторинга ИБ, проверяться
эффективность реализованных защитных мер путем тестовых проверок
(могут быть проверки на проникновение).
10.9. Мониторинг ИБ должен проводиться персоналом организации,
ответственным за ИБ, с целью обнаружения и регистрации отклонений
функционирования защитных мер от требований ИБ и оценки полноты
реализации положений политики ИБ, инструкций и руководств обеспечения
ИБ в организации.
Основными целями мониторинга ИБ в организации являются
оперативное и постоянное наблюдение, сбор, анализ и обработка данных
под заданные руководством цели. Такими целями анализа могут быть:
- контроль за реализацией положений нормативных актов по
обеспечению ИБ в организации;
- выявление нештатных (или злоумышленных) действий в АБС
организации;
- выявление инцидентов ИБ.
Для целей оперативного и постоянного наблюдения объектов
мониторинга могут использоваться как специализированные (например,
программные) средства, так и штатные (входящие в коммерческие продукты
и системы) средства регистрации действий пользователей, процессов и
т.п.
11. Модель зрелости процессов менеджмента информационной
безопасности организации БС РФ
11.1. Модель зрелости является мерой оценки полноты, адекватности
и эффективности процессов менеджмента ИБ.
11.2. Уровень проработанности процессов менеджмента ИБ
определяется тем, насколько полно и последовательно менеджмент
организации руководствуется принципами ИБ, реализует политики и
требования ИБ, использует накопленный опыт и совершенствует СМИБ.
11.3. Оценка зрелости процессов менеджмента ИБ организации
основывается на рассмотрении совокупности параметров для каждого из
этих процессов, отражающих достижение того или иного уровня зрелости
данного процесса.
11.4. Модель зрелости процессов менеджмента ИБ организации
настоящего стандарта основывается на универсальной модели зрелости
процессов, определенной стандартом COBIT, которая определяет шесть
уровней зрелости организации - с нулевого по пятый.
Нулевой уровень характеризует полное отсутствие каких-либо
процессов менеджмента ИБ в рамках деятельности организации.
Организация не осознает существования проблем ИБ.
Первый уровень ("начальный") характеризует наличие документально
зафиксированных свидетельств осознания организацией существования
проблем обеспечения ИБ. Однако используемые процессы менеджмента ИБ
нестандартизованы, применяются эпизодически и бессистемно. Общий
подход к менеджменту ИБ не выработан.
Второй уровень ("повторяемый") характеризует проработанность
процессов менеджмента ИБ до уровня, когда их выполнение обеспечивается
различными людьми, решающими одну и ту же задачу. Однако отсутствуют
регулярное обучение и тренировки по стандартным процедурам, а
ответственность возложена на исполнителя. Руководство организации в
значительной степени полагается на знания исполнителей, что влечет за
собой высокую вероятность возможных ошибок.
Третий уровень ("определенный") характеризует то, что процессы
стандартизованы, документированы и доведены до персонала посредством
обучения. Однако порядок использования данных процессов оставлен на
усмотрение самого персонала. Это определяет вероятность отклонений от
стандартных процедур, которые могут быть не выявлены. Применяемые
процедуры не оптимальны и недостаточно современны, но являются
отражением практики, используемой в организации.
Четвертый уровень ("управляемый") характеризует то, что
обеспечиваются мониторинг и оценка соответствия используемых в
организации процессов. При выявлении низкой эффективности реализуемых
процессов менеджмента ИБ обеспечивается их оптимизация. Процессы
менеджмента ИБ находятся в стадии непрерывного совершенствования и
основываются на хорошей практике. Средства автоматизации менеджмента
ИБ используются частично и в ограниченном объеме.
Пятый уровень ("оптимизированный") характеризует проработанность
процессов менеджмента ИБ до уровня лучшей практики, основанной на
результатах непрерывного совершенствования и сравнения уровня зрелости
относительно других организаций. Защитные меры в организации
используются комплексно, обеспечивая основу совершенствования
процессов менеджмента ИБ. Организация способна к быстрой адаптации при
изменениях в окружении и бизнесе.
11.5. Рекомендуемыми уровнями зрелости процессов менеджмента ИБ
для организаций, способными обеспечить качественное предоставление
основного набора банковских услуг, являются уровни не ниже четвертого.
11.6. Достижение четвертого уровня зрелости процессов менеджмента
ИБ характеризуется следующими параметрами:
- разработана и совершенствуется нормативная и распорядительная
документация по ИБ (политика ИБ, регламенты и положения ИБ,
должностные инструкции персонала и т.п.);
- создана организационная структура управления ИБ. Четко
определена ответственность персонала за деятельность, связанную с
обеспечением ИБ;
- финансирование ИБ осуществляется по отдельной статье бюджета
организации;
- есть назначенный куратор службы ИБ;
- осуществляется приобретение необходимых средств обеспечения ИБ;
- защитные меры (технические, технологические, организационные)
встроены в АБС и банковские технологические процессы, непрерывно
совершенствуются и основываются на хорошей практике. В процессе
внедрения защитных мер используется анализ затрат и результатов,
обеспечивается их оптимизация;
- последовательно выполняется анализ ИБ организации и рисков
нарушения ИБ, а также возможных негативных воздействий;
- краткие занятия с работниками организации по вопросам
обеспечения ИБ носят обязательный характер;
- введена аттестация персонала по вопросам обеспечения
безопасности;
- проверки на возможность вторжения в АБС являются
стандартизованным и формализованным процессом;
- осуществляется оценка соответствия организации требованиям ИБ;
- стандартизованы идентификация, аутентификация и авторизация
пользователей. Защитные меры совершенствуются с учетом накопленного в
организации практического опыта;
- уровень стандартизации и документирования процессов управления
ИБ позволяет проводить аудит ИБ в достаточном объеме;
- процессы обеспечения ИБ координируются со службой безопасности
всей организации;
- деятельность по обеспечению ИБ увязана с целями бизнеса;
- руководство организации понимает проблемы ИБ и участвует в их
решении через назначенного куратора службы ИБ из состава высшего
руководства организации.
11.7. Результаты оценки зрелости каждого из процессов менеджмента
ИБ должны учитываться в общем итоговом рейтинге зрелости организации.
12. Направления развития стандарта
Реализация положений настоящего стандарта должна обеспечиваться
положениями стандартов из комплекса стандартов Банка России СТО БР
ИББС, соответствующими руководствами, методическими указаниями и
системой оценки ИБ в организациях БС РФ.
Положения настоящего стандарта могут уточняться и расширяться по
предложениям, поступившим от организаций - разработчиков данного
стандарта или иных организаций, использующих стандарт в практической
деятельности. Данные предложения должны быть одобрены Банком России и
могут быть включены в стандарт в соответствии с регламентом
деятельности Технического комитета по стандартизации 362 Федерального
агентства по техническому регулированию и метрологии.
Библиография
[1] Федеральный закон "О банках и банковской деятельности" от
01.12.1990 N 395-1 в редакции ФЗ от 03.02.1996 N 17-ФЗ, от 31.07.1998
N 151-ФЗ, от 05.07.1999 N 126-ФЗ, от 08.07.1999 N 136-ФЗ, от
19.06.2001 N 82-ФЗ, от 07.08.2001 N 121-ФЗ, от 21.03.2002 N 31-ФЗ с
изменениями, внесенными постановлением Конституционного Суда
Российской Федерации от 23.02.1999 N 4-П.
[2] Федеральный закон "О Центральном банке Российской Федерации
(Банке России)" от 10 июля 2002 года N 86-ФЗ.
[3] Корпоративный менеджмент: Справочник для профессионалов /
И.И. Мазур, В.Д. Шапиро, Н.Г. Ольдерогге и др.; Под общ. ред. И.И.
Мазура. - М.: Высшая школа, 2003. - 1077 с.
[4] Банковский менеджмент, Питер С. Роуз - М.: "Дело Лтд",1995. -
768 с.
[5] Основы банковской деятельности, Афанасьева Л.П., Богатырев
В.И., Журкина Н.Г. и др. - М., 2003.
Ключевые слова: банковская система Российской Федерации, система
менеджмента информационной безопасности, политика информационной
безопасности.
----------------------------------------------------------------------
1 Под собственником здесь понимается субъект хозяйственной
деятельности, имеющий права владения, распоряжения или пользования
активами, который заинтересован или обязан (согласно требованиям
законов или иных законодательных или нормативно-правовых актов)
обеспечивать защиту активов от угроз, которые могут снизить их
ценность или нанести ущерб собственнику.
2 Под злоумышленником здесь понимается лицо, которое совершает
или совершило заранее обдуманное действие с осознанием его опасных
последствий или не предвидело, но должно было и могло предвидеть
возможность наступления этих последствий (адаптировано из ст. 27 УК
РФ). Далее по тексту данные лица именуются злоумышленниками
(нарушителями).
3 Модели ИБ (угроз и нарушителей) предназначены отражать будущее,
вследствие чего они носят прогнозный характер. Модели ИБ
разрабатываются на основе фактов прошлого и опыта, но ориентированы на
будущее. При разработке моделей (прогнозе) используются имеющийся опыт
и знания, поэтому чем выше знания, тем точнее прогноз.
4 Циклическая модель менеджмента Деминга, известная под названием
модели "планирование - реализация - проверка - совершенствование -
планирование - ..." и являющаяся основой международных стандартов
менеджмента информационной безопасности (ISO/IEC IS 27001),
менеджмента качества (ГОСТ Р ИСО 9001) и других стандартов, может
применяться ко всем процессам СМИБ.
5 Здесь и далее по тексту стандарта рассматриваются проблемы,
прямо или косвенно относящиеся к ИБ.
6 Фрикер - злоумышленник, скрытно подключающийся с помощью
различных устройств и приемов к телефонным сетям, обеспечивая себе
связь с любой точкой мира, с указанием номера законного абонента,
который и оплачивает телефонные услуги.
7 На данных уровнях и уровне бизнес-процессов реализация угроз
внешними источниками, действующими самостоятельно, без соучастия
внутренних, практически невозможна.
8 "Знать своего клиента" (Know your Customer): принцип,
используемый регулирующими органами для выражения отношения к
финансовым организациям с точки зрения знания деятельности их клиентов
[ISO TR 13569].
9 "Знать своего служащего" (Know your Employee): принцип,
демонстрирующий озабоченность организации по поводу отношения служащих
к своим обязанностям и возможных проблем, таких, как злоупотребление
имуществом, аферы или финансовые трудности, которые могут приводить к
проблемам с безопасностью [ISO TR 13569].
10 "Необходимо знать" (Need to Know): принцип безопасности,
который ограничивает доступ к информации и ресурсам по обработке
информации тем, кому требуется выполнять определенные обязанности [ISO
TR 13569].
11 "Двойное управление" (Dual Control): принцип сохранения
целостности процесса и борьбы с искажением функций системы, требующий
того, чтобы два лица независимо предпринимали некое действие до
завершения определенных транзакций [ISO TR 13569].
12 Спам - общее наименование не запрошенных пользователями
электронных посланий и рекламных писем, рассылаемых в Интернете по
ставшим известными рассылающей стороне адресам пользователей.Страницы: 1 2 |