СТАНДАРТ БАНКА РОССИИ.
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ОРГАНИЗАЦИЙ БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ
МЕТОДИКА ОЦЕНКИ СООТВЕТСТВИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
ОРГАНИЗАЦИЙ БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ
ТРЕБОВАНИЯМ СТО БР ИББС-1.0-2008
РАСПОРЯЖЕНИЕ
ЦЕНТРАЛЬНЫЙ БАНК РФ
7 мая 2009 г.
N Р-496
(Д)
Дата введения: 2009-06-01
Предисловие
1. ПРИНЯТ И ВВЕДЕН в действие Распоряжением Банка России от 7 мая
2009 года N Р-496.
2. ВЗАМЕН СТО БР ИББС-1.2-2007.
Настоящий стандарт не может быть полностью или частично
воспроизведен, тиражирован и распространен в качестве официального
издания без разрешения Банка России.
Введение
Стандартом Банка России "Обеспечение информационной безопасности
организаций банковской системы Российской Федерации. Общие положения"
(СТО БР ИББС-1.0-2008) с целью проверки уровня информационной
безопасности (ИБ) как самого Банка России, так и организаций
банковской системы (БС) Российской Федерации (РФ) определено
требование проведения регулярной внешней и внутренней оценки ИБ, а
также самооценки ИБ.
Настоящий стандарт устанавливает способы определения степени
выполнения требований Стандарта Банка России "Обеспечение
информационной безопасности организаций банковской системы Российской
Федерации. Общие положения" (СТО БР ИББС-1.0-2008), а также итогового
уровня соответствия ИБ требованиям стандарта Банка России "Обеспечение
информационной безопасности организаций банковской системы Российской
Федерации. Общие положения" (СТО БР ИББС-1.0-2008) при проведении
внутренней и (или) внешней оценки и самооценки ИБ.
1. Область применения
Настоящая методика распространяется на организации БС РФ, а также
на организации, проводящие оценку уровня обеспечения ИБ организации БС
РФ в соответствии с требованиями Стандарта Банка России "Обеспечение
информационной безопасности организаций банковской системы Российской
Федерации. Общие положения" (СТО БР ИББС-1.0-2008, далее - СТО БР
ИББС-1.0).
Настоящий стандарт рекомендован для применения путем включения
ссылок на него и (или) прямого использования устанавливаемых в нем
положений во внутренних документах организации БС РФ, а также в
договорных документах, устанавливающих отношения сторон при проведении
внешних оценок ИБ.
Положения настоящего стандарта применяются на добровольной
основе, если только в отношении конкретных положений обязательность не
установлена действующим законодательством Российской Федерации,
нормативными актами Банка России или условиями договоров.
2. Нормативные ссылки
В настоящем стандарте использованы нормативные ссылки на СТО БР
ИББС-1.0.
3. Термины и определения
В настоящем документе применены термины в соответствии с СТО БР
ИББС-1.0, стандартом Банка России "Обеспечение информационной
безопасности организаций банковской системы Российской Федерации.
Аудит информационной безопасности" (СТО БР ИББС-1.1-2007), а также
следующие термины с соответствующими определениями.
3.1. Показатель информационной безопасности: Мера или
характеристика для оценки информационной безопасности.
3.2. Проверяющая организация: Организация, проводящая оценку
соответствия информационной безопасности организации БС РФ требованиям
СТО БР ИББС-1.0.
3.3. Проверяемая организация: Организация БС РФ, информационная
безопасность которой подвергается оценке на соответствие требованиям
СТО БР ИББС-1.0.
4. Обозначения и сокращения
АБС - автоматизированная банковская система;
БС - банковская система;
ЖЦ - жизненный цикл;
ИБ - информационная безопасность;
НСД - несанкционированный доступ;
НРД - нерегламентированные действия в рамках предоставленных
полномочий;
РФ - Российская Федерация;
СКЗИ - средство криптографической защиты информации;
СМИБ - система менеджмента информационной безопасности;
СИБ - система информационной безопасности;
СОИБ - система обеспечения информационной безопасности;
ЭВМ - электронная вычислительная машина;
ЭЦП - электронная цифровая подпись;
альфа - коэффициент значимости частного показателя;
i.j
EV1 - оценка степени выполнения требований СТО БР ИББС-1.0 по
направлению "текущий уровень ИБ организации";
EV2 - оценка степени выполнения требований СТО БР ИББС-1.0 по
направлению "менеджмент ИБ организации";
EV3 - оценка степени выполнения требований СТО БР ИББС-1.0 по
направлению "уровень осознания ИБ организации";
EV - оценка степени выполнения требований СТО БР ИББС-1.0,
БИТП
регламентирующих банковский информационный технологический процесс;
EV - оценка степени выполнения требований СТО БР ИББС-1.0,
БПТП
регламентирующих банковский платежный технологический процесс;
EV - оценка степени выполнения требований СТО БР ИББС-1.0 для
Mi
группового показателя;
EV - оценка степени выполнения требований СТО БР ИББС-1.0 для
Mi.j
частного показателя;
i - номер группового показателя;
j - номер частного показателя;
Mi.j - обозначение частного показателя;
R - итоговый уровень соответствия ИБ организации БС РФ
требованиям СТО БР ИББС-1.0.
5. Общие положения
5.1. Целью настоящей методики является стандартизация подходов и
способов оценки, используемых для определения уровня соответствия ИБ
организации БС РФ (далее - организации) требованиям СТО БР ИББС-1.0 по
направлениям оценки:
- текущий уровень ИБ организации;
- менеджмент ИБ организации;
- уровень осознания ИБ организации.
5.2. Задачами настоящей методики являются:
- определение состава показателей ИБ и способов их оценивания;
- определение способа оценивания текущего уровня ИБ организации с
помощью установления степени выполнения требований, определенных в
разделе 7 СТО БР ИББС-1.0;
- определение способа оценивания менеджмента ИБ организации и
уровня осознания ИБ организации с помощью установления степени
выполнения требований, определенных в разделе 8 СТО БР ИББС-1.0;
- определение итогового уровня соответствия ИБ организации
требованиям СТО БР ИББС-1.0.
6. Показатели информационной безопасности. Способы
оценивания показателей
6.1. Для оценки степени соответствия ИБ организации требованиям
СТО БР ИББС-1.0 используются групповые и частные показатели ИБ.
Групповые показатели ИБ образуют структуру направлений оценки,
детализируя оценки текущего уровня ИБ организации, менеджмента и
уровня осознания ИБ. Оценки групповых показателей (EV ) используются
Mi
для получения оценки по направлениям (EV1, EV2 и EV3). Частные
показатели ИБ входят в состав групповых показателей и представлены в
виде вопросов, ответы на которые дают возможность определить оценки
(EV ), которые затем формируют оценки EV групповых показателей.
Mi.j Mi
Приложение А содержит формы, предназначенные для заполнения при
проведении оценки. Каждая из форм содержит групповой показатель ИБ,
входящие в него частные показатели ИБ, метрику (шкалу) для оценивания
частных показателей и коэффициенты значимости частных показателей ИБ,
используемые при вычислении группового показателя.
6.2. Частные показатели разделены на две категории. Первую
категорию составляют частные показатели, отражающие требования СТО БР
ИББС-1.0, выполнение которых обязательно в организации. Вторую
категорию составляют частные показатели, отражающие положения СТО БР
ИББС-1.0, выполнение которых рекомендуется в организации. Информация о
принадлежности частных показателей к указанным категориям определена в
формах Приложения А.
6.3. Способ оценивания частного показателя зависит от его
принадлежности к одной из категорий, определенных в п. 6.2 настоящей
методики.
6.4. Оценка EV частного показателя формируется на основании
Mi.j
выявленной аудиторской группой степени выполнения требований
посредством
экспертного оценивания.
Оценивание частного показателя должно сопровождаться внесением
символа, например "X", в соответствующую графу представленных в
Приложении А форм.
6.5. Для частных показателей, выполнение которых обязательно,
устанавливается следующая шкала степени их выполнения:
- "нет" - оценке присваивается значение, равное нулю;
- "частично" - оценке присваивается значение 0,25; 0,5 или 0,75;
- "да" - оценке присваивается значение, равное единице.
Если частный показатель предназначен для оценки требований,
которые не относятся к деятельности организации или на момент оценки
не являются актуальными для организации, что документально
зафиксировано во внутренних документах организации, то данный частный
показатель определяется как неоцениваемый (должна быть заполнена графа
"н/о" - нет оценки) и не учитывается в формировании дальнейших
результатов оценки. При этом необходимо выполнить процедуру нормировки
коэффициентов значимости оставшихся частных показателей ИБ в рамках
группового показателя.
6.6. Для частных показателей, выполнение которых рекомендуется,
устанавливается следующая шкала степени их выполнения:
- "да" - оценке присваивается значение, равное единице;
- "нет" - частный показатель определяется как неоцениваемый
(должна быть заполнена графа "н/о" - нет оценки) и не учитывается в
формировании дальнейших результатов оценки. При этом необходимо
выполнить процедуру нормировки коэффициентов значимости оставшихся
частных показателей ИБ в рамках группового показателя.
6.7. При проведении оценки частных показателей, для которых
оценивается как степень документированности, так и степень выполнения,
рекомендуется использовать следующий общий подход:
Таблица 1 - Рекомендуемые критерии выставления оценок частных
показателей ИБ, в которых оценивается как степень документированности,
так и степень выполнения требований ИБ
----------------------------------------------------------------------------
| Оценка | Критерий выставления оценки частного показателя ИБ |
| частного | |
|показателя ИБ| |
|-------------|------------------------------------------------------------|
| 0 | Требования частного показателя ИБ не установлены во |
| | внутренних нормативных документах проверяемой организации и|
| | не выполняются |
|-------------|------------------------------------------------------------|
| 0 | Требования частного показателя ИБ частично установлены в |
| | нормативных документах проверяемой организации, но не |
| | выполняются |
|-------------|------------------------------------------------------------|
| 0,25 | Требования частного показателя ИБ полностью установлены в |
| | нормативных документах проверяемой организации, но не |
| | выполняются |
|-------------|------------------------------------------------------------|
| 0,25 | Требования частного показателя ИБ не установлены во |
| | внутренних нормативных документах проверяемой организации и|
| | выполняются в неполном объеме |
|-------------|------------------------------------------------------------|
| 0,25 | Требования частного показателя ИБ частично установлены во |
| | внутренних нормативных документах проверяемой организации и|
| | выполняются в неполном объеме |
|-------------|------------------------------------------------------------|
| 0,5 | Требования частного показателя ИБ полностью установлены во |
| | внутренних нормативных документах проверяемой организации и|
| | выполняются в неполном объеме |
|-------------|------------------------------------------------------------|
| 0,5 | Требования частного показателя ИБ не установлены во |
| | внутренних нормативных документах проверяемой организации, |
| | но выполняются в полном объеме |
|-------------|------------------------------------------------------------|
| 0,75 | Требования частного показателя ИБ частично установлены во |
| | внутренних нормативных документах проверяемой организации, |
| | но выполняются в полном объеме |
|-------------|------------------------------------------------------------|
| 1 | Требования частного показателя ИБ полностью установлены во |
| | внутренних нормативных документах проверяемой организации и|
| | выполняются в полном объеме |
----------------------------------------------------------------------------
6.8. При проведении оценки частных показателей, для которых
оценивается только степень документированности, рекомендуется
использовать следующий общий подход:
Таблица 2 - Рекомендуемые критерии выставления оценок частных
показателей ИБ, в которых оценивается только степень
документированности требований ИБ
----------------------------------------------------------------------------
| Оценка | Критерий выставления оценки частного показателя ИБ |
| частного | |
|показателя ИБ| |
|-------------|------------------------------------------------------------|
| 0 | Требования частного показателя ИБ не установлены во |
| | внутренних нормативных документах проверяемой организации |
|-------------|------------------------------------------------------------|
| 0,5 | Требования частного показателя ИБ частично установлены в |
| | нормативных документах проверяемой организации |
|-------------|------------------------------------------------------------|
| 1 | Требования частного показателя ИБ полностью установлены в |
| | нормативных документах проверяемой организации |
----------------------------------------------------------------------------
6.9. При проведении оценки частных показателей, для которых
оценивается только степень выполнения, рекомендуется использовать
следующий общий подход:
Таблица 3 - Рекомендуемые критерии выставления оценок частных
показателей ИБ, в которых оценивается только степень выполнения
требований ИБ
----------------------------------------------------------------------------
| Оценка | Критерий выставления оценки частного показателя ИБ |
| частного | |
|показателя ИБ| |
|-------------|------------------------------------------------------------|
| 0 | Требования частного показателя ИБ не выполняются |
|-------------|------------------------------------------------------------|
| 0,5 | Требования частного показателя ИБ выполняются в неполном |
| | объеме |
|-------------|------------------------------------------------------------|
| 1 | Требования частного показателя ИБ выполняются в полном |
| | объеме |
----------------------------------------------------------------------------
6.10. В случаях, если при проведении оценки частного показателя
используется ограниченный набор объектов, входящих в область аудита ИБ
(например, ограниченная выборка автоматизированных банковских систем),
и по результатам оценивания частного показателя получены результаты,
указывающие на полное выполнение или полное невыполнение/полную
документированность или отсутствие документированности соответствующих
требований ИБ, рекомендуется расширить набор указанных объектов
(выборку) для подтверждения или коррекции полученных результатов.
6.11. Оценка частного показателя ИБ должна основываться на
свидетельствах аудита, в качестве основных источников которых
рекомендуется использовать:
- внутренние нормативные документы проверяемой организации и при
необходимости документы третьих лиц, относящиеся к обеспечению ИБ
организации;
- устные высказывания сотрудников проверяемой организации в
процессе проводимых опросов;
- результаты наблюдений членов аудиторской группы за
деятельностью сотрудников проверяемой организации в области ИБ.
В процессе проведения устного опроса сотрудников проверяемой
организации и наблюдений за деятельностью указанных сотрудников члены
аудиторской группы должны сделать вывод о степени соответствия
оцениваемой деятельности требованиям внутренних нормативных документов
проверяемой организации.
Полученные свидетельства аудита ИБ и источники их получения
должны быть задокументированы путем составления листов для сбора
свидетельств аудита ИБ, пример которых приведен в Приложении Б. При
заполнении листов для сбора свидетельств аудита ИБ необходимо указать
ссылки на соответствующие внутренние нормативные документы проверяемой
организации, результаты опроса сотрудников проверяемой организации, а
также результаты наблюдений членов аудиторской группы. Результаты
опроса и наблюдений должны быть подтверждены подписью опрашиваемого
сотрудника организации и члена аудиторской группы соответственно.
6.12. Оценка группового показателя (EV ) вычисляется из оценок
Mi
входящих в него частных показателей (EV ) с учетом коэффициентов
Mi.j
значимости альфа , определяющих важность частного показателя для
i.j
оценивания группового показателя:
EV = SUM альфа x EV .
Mi j i.j Mi.j
При формировании коэффициентов значимости учитывалось следующее
условие нормировки:
k
SUM альфа = 1,
j=1 i.j
где k - число частных показателей в i-м групповом показателе.
Коэффициенты значимости альфа для каждого частного показателя
i.j
приведены в Приложении А.
6.13. Если в рамках группового показателя все входящие в него
частные показатели определены как неоцениваемые, указанный групповой
показатель также определяется как неоцениваемый и не учитывается в
формировании дальнейших результатов оценки. В этом случае групповой
показатель не учитывается в формулах расчета для EV , EV , EV2
БИТП БПТП
или EV3 (см. разделы 7, 8, 9) с соответствующей корректировкой в
формулах расчета количества оцениваемых групповых показателей. Оценки
для таких групповых показателей не отображаются на круговой диаграмме
(см. раздел 10).
7. Оценка текущего уровня информационной безопасности
организации банковской системы Российской Федерации
7.1. Оценка текущего уровня ИБ организации определяется с помощью
групповых и частных показателей ИБ, позволяющих оценить степень
выполнения требований ИБ СТО БР ИББС-1.0 для следующих областей:
- обеспечение ИБ при назначении и распределении ролей и
обеспечении доверия к персоналу;
- обеспечение ИБ на стадиях жизненного цикла АБС;
- обеспечение ИБ при управлении доступом и регистрацией;
- обеспечение ИБ средствами антивирусной защиты;
- обеспечение ИБ при использовании ресурсов сети Интернет;
- обеспечение ИБ при использовании средств криптографической
защиты информации;
- обеспечение ИБ банковских платежных технологических процессов;
- обеспечение ИБ банковских информационных технологических
процессов.
7.2. Групповые показатели по направлению оценки "текущий уровень
ИБ организации" отражают совокупность требований ИБ к областям,
определенным в разделе 7 СТО БР ИББС-1.0. Таблица 4 отражает
соответствие между структурными элементами СТО БР ИББС-1.0,
содержащими требования ИБ, и групповыми показателями ИБ,
предназначенными для проверки реализации данных требований.
Таблица 4 - Соответствие групповых показателей ИБ совокупности
требований ИБ к областям, определенным в разделе 7 СТО БР ИББС-1.0
---------------------------------------------------------------------------
| Обозначение| Наименование группового показателя ИБ | Структурный |
| группового | | элемент СТО БР |
| показателя | | ИББС-1.0 |
| ИБ | | |
|------------|-----------------------------------------|------------------|
| М1 |Обеспечение ИБ при назначении и | п. 7.2 |
| |распределении ролей и обеспечении | |
| |доверия к персоналу | |
|------------|-----------------------------------------|------------------|
| М2 |Обеспечение ИБ на стадиях жизненного | п. 7.3 |
| |цикла АБС | |
|------------|-----------------------------------------|------------------|
| М3 |Обеспечение ИБ при управлении доступом и | п. 7.4 |
| |регистрации | |
|------------|-----------------------------------------|------------------|
| М4 |Обеспечение ИБ средствами антивирусной | п. 7.5 |
| |защиты | |
|------------|-----------------------------------------|------------------|
| М5 |Обеспечение ИБ при использовании | п. 7.6 |
| |ресурсов сети Интернет | |
|------------|-----------------------------------------|------------------|
| М6 |Обеспечение ИБ при использовании средств | п. 7.7 |
| |криптографической защиты информации | |
|------------|-----------------------------------------|------------------|
| М7 |Обеспечение ИБ банковских платежных | п. 7.8 |
| |технологических процессов | |
|------------|-----------------------------------------|------------------|
| М8 |Обеспечение ИБ банковских информационных | п. 7.9 |
| |технологических процессов | |
---------------------------------------------------------------------------
7.3. Частные показатели по направлению оценки "текущий уровень ИБ
организации" отражают отдельные требования ИБ СТО БР ИББС-1.0,
предъявляемые по каждой из областей. Частные показатели по направлению
.
оценки "текущий уровень ИБ организации" (показатели М1 - М8), метрики,
.
а также коэффициенты значимости альфа для каждого частного
i.j
показателя приведены в Приложении А.
7.4. Оценивание частных показателей в рамках групповых
.
показателей М1 - М6 необходимо осуществлять по результатам анализа
.
выполнения соответствующих требований СТО БР ИББС-1.0 применительно к
организации в целом, включая банковский платежный технологический
процесс (М7) и банковский информационный технологический процесс (М8).
7.5. Оценки EV и EV , полученные в результате оценивания
Mi.j Mi
.
групповых показателей ИБ М1 - М8, вносятся в соответствующие графы
.
представленных в Приложении А форм.
7.6. Итоговая оценка EV1, отражающая степень выполнения
требований СТО БР ИББС-1.0 по направлению "текущий уровень ИБ
организации", определяется по наименьшему значению из оценок уровней
ИБ банковского платежного технологического процесса и банковского
информационного технологического процесса.
7.7. Оценка уровня ИБ банковского платежного технологического
процесса вычисляется по формуле:
SUM EV + EV
i Mi M7 .
EV = ----------------, i = 1 - 6.
БПТП 7 .
Оценка уровня ИБ банковского информационного технологического
процесса вычисляется по формуле:
SUM EV + EV
i Mi MВ .
EV = ----------------, i = 1 - 6.
БИТП 7 .
7.8. Оценки EV , полученные в результате оценивания групповых
Mi
.
показателей ИБ М1 - М8, отображаются на круговой диаграмме (см. раздел
.
10) в секторах с 1-го по 8-й дугами, отстающими от центра круговой
диаграммы на величину, соответствующую значению этих оценок.
7.9. Оценка EV1 отображается на круговой диаграмме (см. раздел
10) в секторах с 1-го по 8-й дугой, отстающей от центра круговой
диаграммы на величину, соответствующую значению EV1.
8. Оценка менеджмента информационной безопасности
организации банковской системы Российской Федерации
8.1. Оценка менеджмента ИБ организации определяется с помощью
групповых и частных показателей ИБ, позволяющих оценить степень
выполнения требований ИБ СТО БР ИББС-1.0 для следующих областей:
- организация и функционирование службы ИБ организации;
- определение / коррекция области действия СОИБ;
- выбор / коррекция подхода к оценке рисков нарушения ИБ и
проведение оценки рисков нарушения ИБ;
- разработка планов обработки рисков нарушения ИБ;
- разработка / коррекция внутренних документов, регламентирующих
деятельность в области обеспечения ИБ;
- принятие руководством организации решений о реализации и
эксплуатации СОИБ;
- организация реализации планов обработки рисков нарушения ИБ;
- разработка и организация реализации программ по обучению и
повышению осведомленности в области ИБ;
- организация обнаружения и реагирования на инциденты
безопасности;
- организация обеспечения непрерывности бизнеса и его
восстановления после прерываний;
- мониторинг и контроль защитных мер;
- проведение самооценки ИБ;
- проведение внешнего аудита ИБ;
- анализ функционирования СОИБ;
- анализ СОИБ со стороны руководства организации;
- принятие решений по тактическим улучшениям СОИБ;
- принятие решений по стратегическим улучшениям СОИБ.
8.2. Групповые показатели по направлению оценки "менеджмент ИБ
организации" отражают совокупность требований ИБ к областям,
определенным в разделе 8 СТО БР ИББС-1.0. Таблица 5 отражает
соответствие между структурными элементами СТО БР ИББС-1.0,
содержащими требования ИБ, и групповыми показателями ИБ,
предназначенными для проверки реализации данных требований.
Таблица 5 - Соответствие групповых показателей ИБ требованиям к
СМИБ, представленным в разделе 8 СТО БР ИББС-1.0
----------------------------------------------------------------------------
| Обозначение| Наименование группового показателя ИБ | Структурный |
| группового | | элемент |
| показателя | | СТО БР |
| ИБ | | ИББС-1.0 |
|------------|-----------------------------------------------|-------------|
| М9 | Организация и функционирование службы ИБ | п. 8.2 |
| | организации | |
|------------|-----------------------------------------------|-------------|
| М10 | Определение/коррекция области действия СОИБ | п. 8.3 |
|------------|-----------------------------------------------|-------------|
| М11 | Выбор/коррекция подхода к оценке рисков | п. 8.4 |
| | нарушения ИБ и проведение оценки рисков | |
| | нарушения ИБ | |
|------------|-----------------------------------------------|-------------|
| М12 | Разработка планов обработки рисков нарушения | п. 8.5 |
| | ИБ | |
|------------|-----------------------------------------------|-------------|
| М13 | Разработка/коррекция внутренних документов, | п. 8.6 |
| | регламентирующих деятельность в области | |
| | обеспечения ИБ | |
|------------|-----------------------------------------------|-------------|
| М14 | Принятие руководством организации решений о | п. 8.7 |
| | реализации и эксплуатации СОИБ | |
|------------|-----------------------------------------------|-------------|
| М15 | Организация реализации планов внедрения СОИБ | п. 8.8 |
|------------|-----------------------------------------------|-------------|
| М16 | Разработка и организация реализации программ | п. 8.9 |
| | по обучению и повышению осведомленности в | |
| | области ИБ | |
|------------|-----------------------------------------------|-------------|
| М17 | Организация обнаружения и реагирования на | п. 8.10 |
| | инциденты безопасности | |
|------------|-----------------------------------------------|-------------|
| М18 | Организация обеспечения непрерывности бизнеса | п. 8.11 |
| | и его восстановления после прерываний | |
|------------|-----------------------------------------------|-------------|
| М19 | Мониторинг и контроль защитных мер | п. 8.12 |
|------------|-----------------------------------------------|-------------|
| М20 | Проведение самооценки ИБ | п. 8.13 |
|------------|-----------------------------------------------|-------------|
| М21 | Проведение аудита ИБ | п. 8.14 |
|------------|-----------------------------------------------|-------------|
| М22 | Анализ функционирования СОИБ | п. 8.15 |
|------------|-----------------------------------------------|-------------|
| М23 | Анализ СОИБ со стороны руководства | п. 8.16 |
| | организации | |
|------------|-----------------------------------------------|-------------|
| М24 | Принятие решений по тактическим улучшениям | п. 8.17 |
| | СОИБ | |
|------------|-----------------------------------------------|-------------|
| М25 | Принятие решений по стратегическим улучшениям | п. 8.18 |
| | СОИБ | |
----------------------------------------------------------------------------
8.3. Частные показатели по направлению оценки "менеджмент ИБ
организации" отражают отдельные требования ИБ СТО БР ИББС-1.0,
предъявляемые по каждой из областей. Частные показатели по направлению
.
оценки "менеджмент ИБ организации" (показатели М9 - М25), метрики, а
.
также коэффициенты значимости альфа для каждого частного показателя
i.j
приведены в Приложении А.
8.4. Оценки EV и EV , полученные в результате оценивания
Mi.j Mi
.
групповых показателей ИБ М9 - М25, вносятся в соответствующие графы
.
представленных в Приложении А форм.
8.5. Итоговая оценка EV2, отражающая степени выполнения
требований СТО БР ИББС-1.0 по направлению "менеджмент ИБ организации",
вычисляется по формуле:
25
SUM EV
i=9 Mi
EV2 = --------.
17
8.6. Оценки EV , полученные в результате оценивания групповых
Mi
.
показателей ИБ М9 - М25, отображаются на круговой диаграмме (см.раздел
.
10) в секторах с 9-го по 25-й дугами, отстающими от центра круговой
диаграммы на величину, соответствующую значению этих оценок.
8.7. Оценка EV2 отображается на круговой диаграмме (см. раздел
10) в секторах с 9-го по 25-й дугой, отстающей от центра круговой
диаграммы на величину, соответствующую значению EV2.
9. Оценка уровня осознания информационной безопасности
организации банковской системы Российской Федерации
9.1. Оценка уровня осознания ИБ организации определяется с
помощью групповых и частных показателей ИБ, позволяющих оценить
степень выполнения требований ИБ СТО БР ИББС-1.0 для следующих
областей:
- деятельность руководства организации по поддержке
функционирования службы ИБ организации;
- деятельность руководства организации по принятию решений о
реализации и эксплуатации СОИБ;
- деятельность руководства организации по поддержке планирования
СОИБ;
- деятельность руководства организации по поддержке реализации
СОИБ;
- деятельность руководства организации по поддержке проверки
СОИБ;
- деятельность руководства организации по анализу СОИБ;
- деятельность руководства организации по поддержке
совершенствования СОИБ.
9.2. Групповые показатели по направлению оценки "уровень
осознания ИБ организации" отражают совокупность требований ИБ к
областям, определенным в разделе 8 СТО БР ИББС-1.0. Таблица 6 отражает
соответствие между структурными элементами СТО БР ИББС-1.0,
содержащими требования ИБ, и групповыми показателями ИБ,
предназначенными для проверки реализации данных требований.
Таблица 6 - Соответствие групповых показателей ИБ требованиям,
представленным в разделе 8 СТО БР ИББС-1.0
---------------------------------------------------------------------------
| Обозначение| Наименование группового показателя ИБ | Структурный |
| группового | | элемент СТО |
| показателя | | БР ИББС-1.0 |
| ИБ | | |
|------------|----------------------------------------------|-------------|
| М26 |Оценка деятельности руководства организации | п. 8.2 |
| |по поддержке функционирования службы ИБ | |
| |организации | |
|------------|----------------------------------------------|-------------|
| М27 |Оценка деятельности руководства организации | п. 8.7 |
| |по принятию решений о реализации и | |
| |эксплуатации СОИБ | |
|------------|----------------------------------------------|-------------|
| М28 |Оценка деятельности руководства организации | п. 8.3, 8.4,|
| |по поддержке планирования СОИБ |8.5, 8.6, 8.8|
|------------|----------------------------------------------|-------------|
| М29 |Оценка деятельности руководства организации |п. 8.9, 8.10,|
| |по поддержке реализации СОИБ | 8.11 |
|------------|----------------------------------------------|-------------|
| М30 |Оценка деятельности руководства организации | п. 8.12, |
| |по поддержке проверки СОИБ | 8.13, 8.14, |
| | | 8.15 |
|------------|----------------------------------------------|-------------|
| М31 |Оценка деятельности руководства организации | п. 8.16 |
| |по анализу СОИБ | |
|------------|----------------------------------------------|-------------|
| М32 |Оценка деятельности руководства организации |п. 8.17, 8.18|
| |по поддержке совершенствования СОИБ | |
---------------------------------------------------------------------------
9.3. Частные показатели по направлению оценки "уровень осознания
ИБ организации" отражают отдельные требования СТО БР ИББС-1.0 к СМИБ
организации, относящиеся к деятельности руководства организации.
Частные показатели по направлению оценки "уровень осознания ИБ
.
организации" (показатели М25 - М32), метрики, а также коэффициенты
.
значимости альфа для каждого частного показателя приведены в
i.j
Приложении А.
9.4. Оценки EV и EV , полученные в результате оценивания
Mi.j Mi
.
групповых показателей ИБ М25 - М32, вносятся в соответствующие графы
.
представленных в Приложении А форм.
9.5. Итоговая оценка EV3, отражающая степени выполнения
требований СТО БР ИББС-1.0 по направлению "уровень осознания ИБ
организации", вычисляется по формуле:
32
SUM EV
i=26 Mi
EV3 = ---------.
7
9.6. Оценки EV , полученные в результате оценивания групповых
Mi
.
показателей ИБ М26 - М32, отображаются на круговой диаграмме (см.
.
раздел
10) в секторах с 26-го по 32-й дугами, отстающими от центра
круговой диаграммы на величину, соответствующую значению этих оценок.
9.7. Оценка EV3 отображается на круговой диаграмме (см. раздел
10) в секторах с 26-го по 32-й дугой, отстающей от центра круговой
диаграммы на величину, соответствующую значению EV3.
10. Определение уровня соответствия информационной
безопасности организации банковской системы Российской
Федерации требованиям СТО БР ИББС-1.0. Отображение оценок
10.1. Если оценка EV1, EV2 или EV3 лежит в интервале от 0 до
0,25, то данному направлению оценки присваивается нулевой уровень
соответствия ИБ требованиям СТО БР ИББС-1.0.
Если оценка EV1, EV2 или EV3 лежит в интервале от 0,25 до 0,5, то
данному направлению оценки присваивается первый уровень соответствия
ИБ требованиям СТО БР ИББС-1.0.
Если оценка EV1, EV2 или EV3 лежит в интервале от 0,5 до 0,7, то
данному направлению оценки присваивается второй уровень соответствия
ИБ требованиям СТО БР ИББС-1.0.
Если оценка EV1, EV2 или EV3 лежит в интервале от 0,7 до 0,85, то
данному направлению оценки присваивается третий уровень соответствия
ИБ требованиям СТО БР ИББС-1.0.
Если оценка EV1, EV2 или EV3 лежит в интервале от 0,85 до 0,95,
то данному направлению оценки присваивается четвертый уровень
соответствия ИБ требованиям СТО БР ИББС-1.0.
Если оценка EV1, EV2 или EV3 лежит в интервале от 0,95 до 1
включительно, то данному направлению оценки присваивается пятый
уровень соответствия ИБ требованиям СТО БР ИББС-1.0.
10.2. Значение R определяется по наименьшему значению из трех
оценок по направлениям оценки:
- оценки уровня осознания ИБ организации (EV3);
- оценки менеджмента ИБ организации (EV2);
- оценки текущего уровня ИБ организации (EV1).
10.3. Полученное в результате оценки соответствия ИБ организации
требованиям СТО БР ИББС-1.0 значение R является основой для
формирования аудиторского заключения по результатам аудита ИБ.
10.4. Значения R, соответствующие четвертому и пятому уровням,
являются рекомендуемыми Банком России.
Значения R, соответствующие уровням с нулевого по третий, не
являются рекомендуемыми Банком России.
10.5. Рисунок 1 представляет собой круговую диаграмму для
отображения результатов оценивания.
Секторы с 1-го по 8-й используются для отображения оценки
текущего уровня ИБ организации.
Секторы с 9-го по 25-й используются для отображения оценки
процессов менеджмента ИБ организации.
Секторы с 26-го по 32-й используются для отображения оценки
уровня осознания ИБ организации.
Пятому уровню соответствуют окружность радиусом 0,95 и кольцо до
окружности радиусом 1.
Четвертому уровню соответствуют окружность радиусом 0,85 и кольцо
до окружности радиусом 0,95.
Третьему уровню соответствуют окружность радиусом 0,7 и кольцо до
окружности радиусом 0,85.
Второму уровню соответствуют окружность радиусом 0,5 и кольцо до
окружности радиусом 0,7.
Первому уровню соответствуют окружность радиусом 0,25 и кольцо до
окружности радиусом 0,5.
Нулевому уровню соответствует круг до окружности радиусом 0,25.
Рисунок 1 - Круговая диаграмма для отображения
результатов оценивания
----------------------------------------------------------------------
Не приводится.
Приложение A
(обязательное)
ПОКАЗАТЕЛИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Групповой показатель М1 "Обеспечение информационной
безопасности при назначении и распределении ролей
и обеспечении доверия к персоналу"
--------------------------------------------------------------------------------------------------------------------------------
| Обозначение | Частный показатель ИБ |Обязательность | Оценка частного показателя ИБ |Коэффициент |Вычисленное |
| частного | | выполнения |---------------------------------| значимости | значение |
|показателя ИБ | | | 0 |0,25 | 0,5 |0,75 | 1 | н/о | частного | показателя |
| | | | | | | | | | показателя | ИБ |
| | | | | | | | | | ИБ | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.1 | Определены ли в документах | обязательный | | | | | | | 0,0581 | |
| | организации роли ее работников? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.2 | Формируются ли роли, связанные с | обязательный | | | | | | | 0,0291 | |
| | выполнением деятельности по | | | | | | | | | |
| | обеспечению ИБ, на основании | | | | | | | | | |
| | требований разделов 7 и 8 | | | | | | | | | |
| | стандарта СТО БР ИББС-1.0? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.3 | Персонифицированы ли роли в | обязательный | | | | | | | 0,0502 | |
| | организации с установлением | | | | | | | | | |
| | ответственности за их выполнение? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.4 | Зафиксирована ли документально в | обязательный | | | | | | | 0,0461 | |
| | должностных инструкциях | | | | | | | | | |
| | ответственность за выполнение | | | | | | | | | |
| | ролей? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.5 | Отсутствуют ли в организации | рекомендуемый |////|/////|/////|/////| | | 0,0522 | |
| | роли, совмещающие функции | |////|/////|/////|/////| | | | |
| | разработки и сопровождения | |////|/////|/////|/////| | | | |
| | системы/ПО? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.6 | Отсутствуют ли в организации | рекомендуемый |////|/////|/////|/////| | | 0,0610 | |
| | роли, совмещающие функции | |////|/////|/////|/////| | | | |
| | разработки и эксплуатации | |////|/////|/////|/////| | | | |
| | системы/ПО? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.7 | Отсутствуют ли в организации | рекомендуемый |////|/////|/////|/////| | | 0,0522 | |
| | роли, совмещающие функции | |////|/////|/////|/////| | | | |
| | сопровождения и эксплуатации? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.8 | Отсутствуют ли в организации | рекомендуемый |////|/////|/////|/////| | | 0,0661 | |
| | роли, совмещающие функции | |////|/////|/////|/////| | | | |
| | администратора системы и | |////|/////|/////|/////| | | | |
| | администратора информационной | |////|/////|/////|/////| | | | |
| | безопасности? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.9 | Отсутствуют ли в организации | рекомендуемый |////|/////|/////|/////| | | 0,0661 | |
| | роли, совмещающие функции по | |////|/////|/////|/////| | | | |
| | выполнению операций в системе и | |////|/////|/////|/////| | | | |
| | контроля их выполнения? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.10 | Определены ли документально в | обязательный | | | | | | | 0,1001 | |
| | организации и выполняются ли | | | | | | | | | |
| | процедуры контроля деятельности | | | | | | | | | |
| | работников, обладающих | | | | | | | | | |
| | совокупностью полномочий | | | | | | | | | |
| | (ролями), позволяющих получить | | | | | | | | | |
| | контроль над защищаемым | | | | | | | | | |
| | информационным активом | | | | | | | | | |
| | организации? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.11 | Определены ли в документах | обязательный | | | | | | | 0,0513 | |
| | организации процедуры приема на | | | | | | | | | |
| | работу, влияющую на обеспечение | | | | | | | | | |
| | ИБ, включающие: | | | | | | | | | |
| | - проверку подлинности | | | | | | | | | |
| | предоставленных документов, | | | | | | | | | |
| | заявляемой квалификации, точности | | | | | | | | | |
| | и полноты биографических навыков; | | | | | | | | | |
| | - проверку в части | | | | | | | | | |
| | профессиональных навыков и оценку | | | | | | | | | |
| | профессиональной пригодности? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.12 | Предусматривают ли указанные в | обязательный | | | | | | | 0,0371 | |
| | частном показателе М1.11 | | | | | | | | | |
| | процедуры документальную фиксацию | | | | | | | | | |
| | результатов проводимых проверок? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.13 | Определены ли в документах | рекомендуемый |////|/////|/////|/////| | | 0,0302 | |
| | организации процедуры регулярной | |////|/////|/////|/////| | | | |
| | проверки в части профессиональных | |////|/////|/////|/////| | | | |
| | навыков и оценки профессиональной | |////|/////|/////|/////| | | | |
| | пригодности работников? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.14 | Предусматривают ли указанные в | рекомендуемый |////|/////|/////|/////| | | 0,0302 | P |
| | частном показателе М1.13 | |////|/////|/////|/////| | | | |
| | процедуры документальную фиксацию | |////|/////|/////|/////| | | | |
| | результатов проводимых проверок? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.15 | Определены ли в документах | рекомендуемый |////|/////|/////|/////| | | 0,0433 | |
| | организации процедуры внеплановой | |////|/////|/////|/////| | | | |
| | проверки работников при выявлении | |////|/////|/////|/////| | | | |
| | фактов их нештатного поведения, | |////|/////|/////|/////| | | | |
| | участия в инцидентах ИБ или | |////|/////|/////|/////| | | | |
| | подозрений в таком поведении или | |////|/////|/////|/////| | | | |
| | участии? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.16 | Предусматривают ли указанные в | рекомендуемый |////|/////|/////|/////| | | 0,0391 | |
| | частном показателе М1.15 | |////|/////|/////|/////| | | | |
| | процедуры документальную фиксацию | |////|/////|/////|/////| | | | |
| | результатов проводимых проверок? | |////|/////|/////|/////| | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.17 | Обязаны ли все работники | обязательный | | | | | | | 0,0383 | |
| | организации давать письменные | | | | | | | | | |
| | обязательства о соблюдении | | | | | | | | | |
| | конфиденциальности, | | | | | | | | | |
| | приверженности правилам | | | | | | | | | |
| | корпоративной этики, включая | | | | | | | | | |
| | требования по недопущению | | | | | | | | | |
| | конфликта интересов? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.18 | Регламентируются ли положениями, | обязательный | | | | | | | 0,0449 | |
| | включенными в договоры | | | | | | | | | |
| | (соглашения) с внешними | | | | | | | | | |
| | организациями и клиентами, | | | | | | | | | |
| | требования по ИБ? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.19 | Определены ли в трудовых | обязательный | | | | | | | 0,0582 | |
| | контрактах (соглашениях, | | | | | | | | | |
| | договорах) и (или) должностных | | | | | | | | | |
| | инструкциях обязанности персонала | | | | | | | | | |
| | по выполнению требований ИБ? | | | | | | | | | |
|--------------|-----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М1.20 | Приравнивается ли невыполнение | обязательный | | | | | | | 0,0462 | |
| | работниками организации | | | | | | | | | |
| | требований ИБ к невыполнению | | | | | | | | | |
| | должностных обязанностей и | | | | | | | | | |
| | приводит ли как минимум к | | | | | | | | | |
| | дисциплинарной ответственности? | | | | | | | | | |
|-----------------------------------------------------------------------------------------------------------------|------------|
| Итоговая оценка группового показателя М1 | |
--------------------------------------------------------------------------------------------------------------------------------
Групповой показатель М2 "Обеспечение информационной
безопасности автоматизированных банковских систем
на стадиях жизненного цикла"
-------------------------------------------------------------------------------------------------------------------------------
| Обозначение | Частный показатель ИБ |Обязательность | Оценка частного показателя ИБ |Коэффициент |Вычисленное |
| частного | | выполнения |---------------------------------| значимости | значение |
|показателя ИБ | | | 0 |0,25 | 0,5 |0,75 | 1 | н/о | частного | показателя |
| | | | | | | | | | показателя | ИБ |
| | | | | | | | | | ИБ | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.1 |Рассматриваются ли при | рекомендуемый |////|/////|/////|/////| | | 0,0504 | |
| |формировании требований ИБ | |////|/////|/////|/////| | | | |
| |следующие стадии модели ЖЦ АБС: | |////|/////|/////|/////| | | | |
| |- разработка технических заданий; | |////|/////|/////|/////| | | | |
| |- проектирование; | |////|/////|/////|/////| | | | |
| |- создание и тестирование; | |////|/////|/////|/////| | | | |
| |- приемка и ввод в действие; | |////|/////|/////|/////| | | | |
| |- эксплуатация; | |////|/////|/////|/////| | | | |
| |- сопровождение и модернизации; | |////|/////|/////|/////| | | | |
| |- снятие с эксплуатации? | |////|/////|/////|/////| | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.2 |Осуществляются ли разработка | обязательный | | | | | | | 0,0616 | |
| |технических заданий и приемка АБС | | | | | | | | | |
| |по согласованию и при участии | | | | | | | | | |
| |подразделения (лиц) в | | | | | | | | | |
| |организации, ответственных за | | | | | | | | | |
| |обеспечение ИБ? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.3 |Осуществляются ли ввод в | обязательный | | | | | | | 0,0591 | |
| |действие, эксплуатация и | | | | | | | | | |
| |сопровождение (модернизация), | | | | | | | | | |
| |снятие с эксплуатации АБС под | | | | | | | | | |
| |контролем подразделений (лиц) в | | | | | | | | | |
| |организации, ответственных за | | | | | | | | | |
| |обеспечение ИБ? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.4 |Имеют ли соответствующие лицензии | обязательный | | | | | | | 0,0563 | |
| |организации, которые привлекаются | | | | | | | | | |
| |на договорной основе для | | | | | | | | | |
| |разработки и (или) производства | | | | | | | | | |
| |средств и систем защиты АБС? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.5 |Снабжены ли разрабатываемые АБС | обязательный | | | | | | | 0,0646 | |
| |и (или) их компоненты | | | | | | | | | |
| |документацией, содержащей | | | | | | | | | |
| |описание реализованных защитных | | | | | | | | | |
| |мер, в том числе в отношении | | | | | | | | | |
| |угроз ИБ (источников угроз), | | | | | | | | | |
| |описанных в модели угроз | | | | | | | | | |
| |организации? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.6 |Снабжены ли приобретаемые | рекомендуемый |////|/////|/////|/////| | | 0,0604 | |
| |организацией АБС и (или) их | |////|/////|/////|/////| | | | |
| |компоненты документацией, | |////|/////|/////|/////| | | | |
| |содержащей описание реализованных | |////|/////|/////|/////| | | | |
| |защитных мер, в том числе в | |////|/////|/////|/////| | | | |
| |отношении угроз ИБ (источников | |////|/////|/////|/////| | | | |
| |угроз), описанных в модели угроз | |////|/////|/////|/////| | | | |
| |организации? | |////|/////|/////|/////| | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.7 |Содержит ли документация на | обязательный | | | | | | | 0,0450 | |
| |разрабатываемые АБС или | | | | | | | | | |
| |приобретаемые готовые АБС и их | | | | | | | | | |
| |компоненты описание реализованных | | | | | | | | | |
| |защитных мер, предпринятых | | | | | | | | | |
| |разработчиком относительно | | | | | | | | | |
| |безопасности разработки и | | | | | | | | | |
| |безопасности поставки? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.8 |Реализуется ли при взаимодействии | обязательный | | | | | | | 0,0604 | |
| |организации с разработчиком АБС и | | | | | | | | | |
| |их компонентов одна из трех | | | | | | | | | |
| |альтернатив: | | | | | | | | | |
| |1) в договор (контракт) | | | | | | | | | |
| |о разработке АБС или | | | | | | | | | |
| |поставке готовых АБС и их | | | | | | | | | |
| |компонентов включаются положения | | | | | | | | | |
| |по сопровождению поставляемых | | | | | | | | | |
| |изделий на весь срок их службы; | | | | | | | | | |
| |2) организация приобретает полный | | | | | | | | | |
| |комплект рабочей конструкторской | | | | | | | | | |
| |документации, обеспечивающий | | | | | | | | | |
| |возможность сопровождения АБС и | | | | | | | | | |
| |их компонентов без участия | | | | | | | | | |
| |разработчика; | | | | | | | | | |
| |3) руководство организации | | | | | | | | | |
| |оценивает и документально | | | | | | | | | |
| |оформляет допустимость риска | | | | | | | | | |
| |нарушения ИБ, возникающего при | | | | | | | | | |
| |невозможности сопровождения АБС | | | | | | | | | |
| |и их компонентов? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.9 |Учитывается ли при разработке | обязательный | | | | | | | 0,0596 | |
| |технических заданий на системы | | | | | | | | | |
| |дистанционного банковского | | | | | | | | | |
| |обслуживания, что защита данных | | | | | | | | | |
| |должна обеспечиваться в условиях: | | | | | | | | | |
| |- попыток доступа к банковской | | | | | | | | | |
| |информации анонимных, | | | | | | | | | |
| |неавторизованных злоумышленников | | | | | | | | | |
| |при использовании сетей общего | | | | | | | | | |
| |пользования; | | | | | | | | | |
| |- возможности ошибок | | | | | | | | | |
| |авторизованных пользователей | | | | | | | | | |
| |систем; | | | | | | | | | |
| |- возможности ненамеренного или | | | | | | | | | |
| |неадекватного использования | | | | | | | | | |
| |конфиденциальных данных | | | | | | | | | |
| |авторизованными пользователями? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.10 |Обеспечиваются ли на стадии | обязательный | | | | | | | 0,0474 | |
| |тестирования анонимность данных и | | | | | | | | | |
| |проверка адекватности | | | | | | | | | |
| |разграничения доступа? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.11 |Определены ли в документах | обязательный | | | | | | | 0,0700 | |
| |организации и выполняются ли на | | | | | | | | | |
| |стадии эксплуатации АБС процедуры | | | | | | | | | |
| |контроля работоспособности | | | | | | | | | |
| |(функционирования, эффективности) | | | | | | | | | |
| |реализованных в АБС защитных мер? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.12 |Предусматривают ли указанные в | обязательный | | | | | | | 0,0626 | |
| |частном показателе М2.11 | | | | | | | | | |
| |процедуры документальную фиксацию | | | | | | | | | |
| |результатов контроля? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.13 |Определены ли в документах | обязательный | | | | | | | 0,0596 | |
| |организации и выполняются ли на | | | | | | | | | |
| |стадии сопровождения | | | | | | | | | |
| |(модернизации) АБС процедуры | | | | | | | | | |
| |контроля, обеспечивающие защиту | | | | | | | | | |
| |от: | | | | | | | | | |
| |- умышленного | | | | | | | | | |
| |несанкционированного раскрытия, | | | | | | | | | |
| |модификации или уничтожения | | | | | | | | | |
| |информации; | | | | | | | | | |
| |- неумышленной модификации, | | | | | | | | | |
| |раскрытия или уничтожения | | | | | | | | | |
| |информации; | | | | | | | | | |
| |- отказа в обслуживании или | | | | | | | | | |
| |ухудшения обслуживания? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.14 |Предусматривают ли указанные в | обязательный | | | | | | | 0,0533 | |
| |частном показателе М2.13 | | | | | | | | | |
| |процедуры документальную фиксацию | | | | | | | | | |
| |результатов контроля? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.15 |Проводятся ли на стадии | обязательный | | | | | | | 0,0646 | |
| |сопровождения (модернизации) при | | | | | | | | | |
| |любом внесении изменений в АБС | | | | | | | | | |
| |процедуры проверки | | | | | | | | | |
| |функциональности, результаты | | | | | | | | | |
| |которых документируются? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.16 |Определены ли документально и | обязательный | | | | | | | 0,0675 | |
| |выполняются ли на стадии снятия с | | | | | | | | | |
| |эксплуатации процедуры, | | | | | | | | | |
| |обеспечивающие удаление | | | | | | | | | |
| |информации, несанкционированное | | | | | | | | | |
| |использование которой может | | | | | | | | | |
| |нанести ущерб бизнес-деятельности | | | | | | | | | |
| |организации, и информации, | | | | | | | | | |
| |используемой средствами | | | | | | | | | |
| |обеспечения ИБ, из постоянной | | | | | | | | | |
| |памяти АБС и с внешних носителей | | | | | | | | | |
| |(за исключением архивов | | | | | | | | | |
| |электронных документов и | | | | | | | | | |
| |протоколов электронного | | | | | | | | | |
| |взаимодействия, ведение и | | | | | | | | | |
| |сохранность которых в течение | | | | | | | | | |
| |определенного срока предусмотрены | | | | | | | | | |
| |соответствующими нормативными | | | | | | | | | |
| |и (или) договорными документами)? | | | | | | | | | |
|--------------|----------------------------------|---------------|----|-----|-----|-----|----|-----|------------|------------|
| М2.17 |Предусматривают ли указанные в | обязательный | | | | | | | 0,0576 | |
| |частном показателе М2.16 | | | | | | | | | |
| |процедуры документальную фиксацию | | | | | | | | | |
| |результатов их выполнения? | | | | | | | | | |
|----------------------------------------------------------------------------------------------------------------|------------|
|Итоговая оценка группового показателя М2 | |
-------------------------------------------------------------------------------------------------------------------------------
Групповой показатель М3 "Обеспечение информационной
безопасности при управлении доступом и регистрации"
-------------------------------------------------------------------------------------------------------------------------------
| Обозначение | Частный показатель ИБ |Обязательность | Оценка частного показателя ИБ |Коэффициент |Вычисленное |
| частного | | выполнения |---------------------------------| значимости | значение |
|показателя ИБ | | | 0 |0,25 | 0,5 |0,75 | 1 | н/о | частного | показателя |
| | | | | | | | | | показателя | ИБ |
| | | | | | | | | | ИБ | |
|