Стандарт Банка России Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2006 СТО БР ИББС-1.2-2007

СТАНДАРТ БАНКА РОССИИ

СТО БР ИББС-1.2-2007

ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИЙ

БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ

МЕТОДИКА

ОЦЕНКИ СООТВЕТСТВИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

ОРГАНИЗАЦИЙ БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ

ТРЕБОВАНИЯМ СТО БР ИББС-1.0-2006

Дата введения: 2007-05-01

Предисловие

1. ПРИНЯТ И ВВЕДЕН в действие Распоряжением Банка России от 28 апреля 2007 года N Р-346.

2. ВВЕДЕН ВПЕРВЫЕ.

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Банка России.

Введение

Стандартом Банка России СТО БР ИББС-1.0-2006 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" (далее - СТО БР ИББС-1.0) с целью проверки уровня информационной безопасности (ИБ) как самого Банка России, так и организаций банковской системы (БС) Российской Федерации (РФ) определено требование проведения регулярной внешней и внутренней оценки ИБ, а также самооценки ИБ.

Настоящий стандарт устанавливает способы определения степени выполнения требований СТО БР ИББС-1.0, а также итогового уровня соответствия ИБ требованиям СТО БР ИББС-1.0 при проведении внутренней и (или) внешней оценки и самооценки ИБ.

1. Область применения

Настоящая методика распространяется на организации БС РФ, а также на организации, проводящие оценку уровня обеспечения ИБ организации БС РФ в соответствии с требованиями СТО БР ИББС-1.0.

Настоящий стандарт рекомендован для применения путем включения ссылок на него и (или) прямого использования устанавливаемых в нем положений во внутренних документах организации БС РФ.

Положения настоящего стандарта применяются на добровольной основе, если только в отношении конкретных положений обязательность не установлена действующим законодательством Российской Федерации, нормативным правовым актом Банка России или условиями договора.

2. Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на стандарт СТО БР ИББС-1.0.

3. Термины и определения

В настоящем документе применены термины в соответствии с СТО БР ИББС-1.0, стандартом Банка России СТО БР ИББС-1.1-2007 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности", а также следующие термины с соответствующими определениями.

3.1. Показатель информационной безопасности: Мера или характеристика для оценки информационной безопасности.

3.2. Проверяющая организация: Организация, проводящая оценку соответствия информационной безопасности организации БС РФ требованиям СТО БР ИББС-1.0.

3.3. Проверяемая организация: Организация БС РФ, информационная безопасность которой подвергается оценке на соответствие требованиям СТО БР ИББС-1.0.

4. Обозначения и сокращения

АБС - автоматизированная банковская система; БС - банковская система; ЖЦ - жизненный цикл; ИБ - информационная безопасность; ЛВС - локальная вычислительная сеть; НСД - несанкционированный доступ; РФ - Российская Федерация; СКЗИ - средство криптографической защиты информации; СМИБ - система менеджмента информационной безопасности; ЭВМ - электронная вычислительная машина; альфа - коэффициент значимости частного показателя; i.j EV1 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "текущий уровень ИБ организации"; EV2 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "менеджмент ИБ организации"; EV2 - оценка степени выполнения требований СТО БР ИББС-1.0, ПЛ регламентирующих процессы планирования СМИБ; EV2 - оценка степени выполнения требований СТО БР ИББС-1.0, ПР регламентирующих процессы проверки СМИБ; EV2 - оценка степени выполнения требований СТО БР ИББС-1.0, Р регламентирующих процессы реализации и эксплуатации СМИБ; EV2 - оценка степени выполнения требований СТО БР ИББС-1.0, С регламентирующих процессы совершенствования СМИБ; EV3 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "уровень осознания ИБ организации"; EV - оценка степени выполнения требований СТО БР ИББС-1.0, БИТП регламентирующих банковский информационный технологический процесс; EV - оценка степени выполнения требований СТО БР ИББС-1.0, БПТП регламентирующих банковский платежный технологический процесс; EV - оценка степени выполнения требований СТО БР ИББС-1.0 Mi для группового показателя; EV - оценка степени выполнения требований СТО БР ИББС-1.0 Mi.j для частного показателя; i - номер группового показателя; j - номер частного показателя; Mi.j - обозначение частного показателя; R - итоговый уровень соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0.

5. Общие положения

5.1. Целью настоящей методики является стандартизация подходов и способов оценки, используемых для определения уровня соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0 по направлениям оценки:

- текущий уровень ИБ организации;

- менеджмент ИБ организации;

- уровень осознания ИБ организации.

5.2. Задачами настоящей методики являются:

- определение состава показателей ИБ и способов их оценивания;

- определение способа оценивания текущего уровня ИБ организации БС РФ с помощью установления степени выполнения требований, определенных в разделе 8 СТО БР ИББС-1.0;

- определение способа оценивания менеджмента ИБ организации БС РФ с помощью установления степени выполнения требований, определенных в разделе 9 СТО БР ИББС-1.0;

- определение способа оценивания уровня осознания ИБ организации БС РФ с помощью установления степени выполнения принципов, определенных в разделе 6 СТО БР ИББС-1.0;

- определения итогового уровня соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0.

6. Показатели информационной безопасности.

Способы оценивания показателей

6.1. Для оценки степени соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0 используются групповые и частные показатели ИБ. Групповые показатели ИБ образуют структуру направлений оценки, детализируя оценки текущего уровня ИБ, менеджмента и уровня осознания ИБ. Оценки групповых показателей (EV ) используются для получения оценки по направлениям (EV1, EV2 Mi и EV3). Частные показатели ИБ входят в состав групповых показателей и представлены в виде вопросов, ответы на которые дают возможность определить оценки (EV ), которые затем формируют Mi.j оценки EV групповых показателей. Mi

Приложение А содержит формы, предназначенные для заполнения при проведении оценки. Каждая из форм содержит групповой показатель ИБ, входящие в него частные показатели ИБ, метрику (шкалу) для оценивания частных показателей и коэффициенты значимости частных показателей ИБ, используемые при вычислении группового показателя.

6.2. Все частные показатели должны быть оценены. Оценка EV Mi.j частного показателя формируется на основании выявленной аудиторской группой степени выполнения требований посредством экспертного оценивания. Устанавливается следующая шкала степени выполнения требований:

- "нет" - оценке присваивается значение, равное нулю;

- "частично" - оценке присваивается значение 0,25; 0,5 или 0,75;

- "да" - оценке присваивается значение, равное единице.

Оценивание частного показателя должно сопровождаться внесением символа, например "X", в соответствующую графу представленных в приложении А форм. Если частный показатель предназначен для оценки требований, которые не относятся к деятельности организации БС РФ, что документально зафиксировано, то данный частный показатель определяется как неоцениваемый (должна быть заполнена графа "н/о" - нет оценки) и не учитывается в формировании дальнейших результатов оценки. Определение частного показателя как неоцениваемого может быть реализовано путем исключения частного показателя ИБ из числа оцениваемых, при этом необходимо выполнить процедуру перенормировки коэффициентов значимости оставшихся частных показателей ИБ в рамках группового показателя.

6.3. Для выявления степени выполнения требований ИБ при проведении оценки частных показателей рекомендуется использовать следующий общий подход:

Таблица 1. Рекомендуемые критерии выставления оценок частных показателей ИБ

┌────────────┬────────────────────────────────────────────────────────────────┐ │ Оценка │ Критерий выставления оценки частного показателя ИБ │ │ частного │ │ │ показателя │ │ │ ИБ │ │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 0 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, не установлены во внутренних нормативных │ │ │документах проверяемой организации БС РФ и не выполняются │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 0 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, частично установлены в нормативных документах │ │ │проверяемой организации БС РФ, но не выполняются │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 0,25 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, полностью установлены в нормативных документах │ │ │проверяемой организации БС РФ, но не выполняются │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 0,25 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, не установлены во внутренних нормативных │ │ │документах проверяемой организации БС РФ и выполняются в │ │ │неполном объеме │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 0,25 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, частично установлены во внутренних нормативных │ │ │документах проверяемой организации БС РФ и выполняются в │ │ │неполном объеме │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 0,5 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, полностью установлены во внутренних нормативных │ │ │документах проверяемой организации БС РФ и выполняются в │ │ │неполном объеме │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 0,5 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, не установлены во внутренних нормативных │ │ │документах проверяемой организации БС РФ, но выполняются в │ │ │полном объеме │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 0,75 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, частично установлены во внутренних нормативных │ │ │документах проверяемой организации БС РФ, но выполняются в │ │ │полном объеме │ ├────────────┼────────────────────────────────────────────────────────────────┤ │ 1 │Требования, степень выполнения которых оценивается в частном │ │ │показателе ИБ, полностью установлены во внутренних нормативных │ │ │документах проверяемой организации БС РФ и выполняются в полном │ │ │объеме │ └────────────┴────────────────────────────────────────────────────────────────┘

6.4. Оценка частного показателя ИБ должна основываться на свидетельствах аудита, в качестве основных источников которых рекомендуется использовать:

- внутренние нормативные документы проверяемой организации и при необходимости документы третьих лиц, относящиеся к обеспечению ИБ организации БС РФ;

- устные высказывания сотрудников проверяемой организации в процессе проводимых опросов;

- результаты наблюдений членов аудиторской группы за деятельностью сотрудников проверяемой организации в области ИБ.

В процессе проведения устного опроса сотрудников проверяемой организации и наблюдений за деятельностью указанных сотрудников члены аудиторской группы должны сделать вывод о степени соответствия оцениваемой деятельности требованиям внутренних нормативных документов проверяемой организации БС РФ.

Полученные свидетельства аудита ИБ и источники их получения должны быть задокументированы путем составления листов для сбора свидетельств аудита ИБ, пример которых приведен в Приложении Б. При заполнении листов для сбора свидетельств аудита ИБ необходимо указать ссылки на соответствующие внутренние нормативные документы проверяемой организации, результаты опроса сотрудников проверяемой организации, а также результаты наблюдений членов аудиторской группы. Результаты опроса и наблюдений должны быть подтверждены подписью опрашиваемого сотрудника организации БС РФ или члена аудиторской группы соответственно.

6.5. Оценка группового показателя (EV ) вычисляется из оценок Mi входящих в него частных показателей (EV ) с учетом Mi.j коэффициентов значимости альфа , определяющих важность частного i.j показателя для оценивания группового показателя: EV = SUMальфа x EV . Mi j i.j Mi.j При формировании коэффициентов значимости учитывалось следующее условие нормировки: k SUMальфа = 1, j=1 ij где k - число частных показателей в i-ом групповом показателе. Коэффициенты значимости альфа для каждого частного i.j показателя приведены в приложении А.

7. Оценка текущего уровня

информационной безопасности организации банковской

системы Российской Федерации

7.1. Текущий уровень ИБ организации БС РФ определяется с помощью групповых и частных показателей ИБ, позволяющих оценить степень выполнения требований ИБ СТО БР ИББС-1.0 для следующих областей:

- назначение и распределение ролей, обеспечение доверия к персоналу;

- стадии жизненного цикла автоматизированных банковских систем;

- управление доступом и регистрация;

- антивирусная защита;

- использование ресурсов сети Интернет;

- использование средств криптографической защиты информации;

- банковские платежные технологические процессы;

- банковские информационные технологические процессы.

7.2. Групповые показатели текущего уровня ИБ отражают совокупность требований ИБ к областям, определенным в разделе 8 СТО БР ИББС-1.0. Таблица 2 отражает соответствие между структурными элементами СТО БР ИББС-1.0, содержащими требования ИБ, и групповыми показателями ИБ, предназначенными для проверки реализации данных требований.

Таблица 2. Соответствие групповых показателей ИБ совокупности требований ИБ к областям, определенным в разделе 8 СТО БР ИББС-1.0

┌───────────────┬────────────────────────────────────────────┬────────────────┐ │ Обозначение │ Наименование группового показателя ИБ │ Структурный │ │ группового │ │ элемент СТО БР │ │ показателя ИБ │ │ ИББС-1.0 │ ├───────────────┼────────────────────────────────────────────┼────────────────┤ │ M1 │Обеспечение ИБ при назначении и │ п. 8.2.2 │ │ │распределении ролей и обеспечении доверия к │ │ │ │персоналу │ │ ├───────────────┼────────────────────────────────────────────┼────────────────┤ │ M2 │Обеспечение ИБ автоматизированных │ п. 8.2.3 │ │ │банковских систем на стадиях жизненного │ │ │ │цикла │ │ ├───────────────┼────────────────────────────────────────────┼────────────────┤ │ M3 │Обеспечение ИБ при управлении доступом и │ п. 8.2.4 │ │ │регистрации │ │ ├───────────────┼────────────────────────────────────────────┼────────────────┤ │ M4 │Обеспечение ИБ средствами антивирусной │ п. 8.2.5 │ │ │защиты │ │ ├───────────────┼────────────────────────────────────────────┼────────────────┤ │ M5 │Обеспечение ИБ при использовании ресурсов │ п. 8.2.6 │ │ │сети Интернет │ │ ├───────────────┼────────────────────────────────────────────┼────────────────┤ │ M6 │Обеспечение ИБ при использовании средств │ п. 8.2.7 │ │ │криптографической защиты информации │ │ ├───────────────┼────────────────────────────────────────────┼────────────────┤ │ M7 │Выполнение правил обеспечения ИБ банковских │ п. 8.2.8 │ │ │платежных технологических процессов │ │ ├───────────────┼────────────────────────────────────────────┼────────────────┤ │ M8 │Выполнение правил обеспечения ИБ банковских │ п. 8.2.9 │ │ │информационных технологических процессов │ │ └───────────────┴────────────────────────────────────────────┴────────────────┘ 7.3. Частные показатели текущего уровня ИБ отражают отдельные требования ИБ СТО БР ИББС-1.0, предъявляемые по каждой из областей. Частные показатели текущего уровня ИБ (показатели . M1 - M8) и метрики приведены в приложении А. . 7.4. Оценка частного показателя ИБ (EV ) определяется Mi.j посредством экспертного оценивания. Для принятия решения следует проводить анализ нормативных, распорядительных, программных и других документов организации БС РФ, имеющих отношение к проверяемым областям ИБ, и уточнять полученную информацию с помощью опросов сотрудников организации БС РФ и наблюдения за деятельностью. Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о невыполнении соответствующих требований ИБ, то оценке EV присваивается значение, равное Mi.j нулю. Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о частичном выполнении соответствующих требований ИБ, то оценка EV по решению Mi.j аудиторской группы может быть установлена равной 0,25; 0,5 или 0,75 (в зависимости от степени выполнения требований ИБ). Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о полном выполнении соответствующих требований ИБ, то оценке EV присваивается Mi.j значение, равное единице. 7.5. Оценка группового показателя (EV ) вычисляется из оценок Mi входящих в него частных показателей (EV ) с учетом Mi.j коэффициентов значимости альфа : i.j EV = SUMальфа x EV , Mi j i.j Mi.j . где j = 1 - N ; . i N - количество частных показателей ИБ, входящих в групповой i показатель M ; i . i = 1 - 8. . Коэффициенты значимости альфа для каждого частного i.j показателя приведены в приложении А. 7.6. Оценивание частных показателей в рамках групповых . показателей M1 - M6 необходимо осуществлять по результатам анализа . выполнения соответствующих требований СТО БР ИББС-1.0 применительно к организации БС РФ в целом, включая банковский платежный технологический процесс и банковский информационный технологический процесс. 7.7. Оценки EV и EV , полученные в результате оценивания Mi.j Mi . групповых показателей ИБ M1 - M8, вносятся в соответствующие графы . представленных в приложении А форм.

7.8. Итоговая оценка EV1, отражающая текущий уровень ИБ организации БС РФ, определяется по наименьшему значению из оценок уровней ИБ банковского платежного технологического процесса и банковского информационного технологического процесса.

7.9. Оценка уровня ИБ банковского платежного технологического процесса вычисляется по формуле:

SUMEV + EV i Mi M7 . EV = ----------------, i = 1 - 6. БПТП 7 .

Оценка уровня ИБ банковского информационного технологического процесса вычисляется по формуле:

SUMEV + EV i Mi M8 . EV = ----------------, i = 1 - 6. БИТП 7 . 7.10. Оценки EV , полученные в результате оценивания Mi . групповых показателей ИБ M1 - M8, отображаются на круговой . диаграмме (см. раздел 10) в секторах с 1-го по 8-й дугами, отстающими от центра круговой диаграммы на величину, соответствующую значению этих оценок.

7.11. Оценка EV1 отображается на круговой диаграмме (см. раздел 10) в секторах с 1-го по 8-й дугой, отстающей от центра круговой диаграммы на величину, соответствующую значению EV2.

8. Оценка процессов системы менеджмента информационной

безопасности организации банковской системы

Российской Федерации

8.1. Групповые показатели по направлению оценки "менеджмент ИБ организации" оцениваются по стадиям циклической модели менеджмента . ИБ. Групповые показатели M9 - M13 предназначены для оценки . процессов планирования системы менеджмента ИБ (СМИБ). Групповые . показатели M14 - M18 предназначены для оценки процессов реализации . . СМИБ. Групповые показатели M19 - M23 предназначены для оценки . . процессов проверки СМИБ. Групповые показатели M24 - M27 . предназначены для оценки процессов совершенствования СМИБ.

8.2. Таблица 3 отражает соответствие между структурными элементами СТО БР ИББС-1.0 и групповыми показателями ИБ, предназначенными для оценивания процессов менеджмента ИБ. Наименования групповых показателей соответствуют наименованиям процессов СМИБ организации БС РФ, установленных в СТО БР ИББС-1.0.

Таблица 3. Соответствие групповых показателей ИБ процессам СМИБ, представленным в СТО БР ИББС-1.0

┌──────────────┬──────────────────────────────────────────┬────────────────────┐ │ Обозначение │ Наименование группового показателя ИБ │Структурный элемент │ │ группового │ │ СТО БР ИББС-1.0 │ │показателя ИБ │ │ │ ├──────────────┴──────────────────────────────────────────┴────────────────────┤ │ Планирование СМИБ │ ├──────────────┬──────────────────────────────────────────┬────────────────────┤ │ M9 │Определение/уточнение области действия │ элемент │ │ │СМИБ и выбор подхода к оценке рисков ИБ │ перечисления а) │ │ │ │ раздела 9.1 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M10 │Анализ и оценка рисков ИБ, варианты │ элемент │ │ │обработки рисков ИБ │ перечисления б) │ │ │ │ раздела 9.1 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M11 │Определение/уточнение политики ИБ │ элемент │ │ │организации БС РФ │ перечисления в) │ │ │ │ раздела 9.1 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M12 │Выбор/уточнение целей ИБ и защитных мер │ элемент │ │ │ │ перечисления г) │ │ │ │ раздела 9.1 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M13 │Принятие руководством организации БС РФ │ элемент │ │ │остаточных рисков и решения о реализации │ перечисления д) │ │ │и эксплуатации/совершенствовании СМИБ │раздела 9.1, раздел │ │ │ │ 9.7 │ ├──────────────┴──────────────────────────────────────────┴────────────────────┤ │ Реализация и эксплуатация СМИБ │ ├──────────────┬──────────────────────────────────────────┬────────────────────┤ │ M14 │Разработка плана обработки рисков ИБ │ элемент │ │ │ │ перечисления а) │ │ │ │ раздела 9.2 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M15 │Реализация плана обработки рисков ИБ и │ элемент │ │ │реализация защитных мер, управление │ перечисления б) │ │ │работами и ресурсами, связанными с │ раздела 9.2 │ │ │реализацией СМИБ │ │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M16 │Реализация программ по обучению и │ элемент │ │ │осведомлению ИБ │ перечисления в) │ │ │ │ раздела 9.2 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M17 │Обнаружение и реагирование на инциденты │ элемент │ │ │безопасности │ перечисления г) │ │ │ │ раздела 9.2 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M18 │Обеспечение непрерывности бизнеса и │ элемент │ │ │восстановления после прерываний │ перечисления д) │ │ │ │раздела 9.2, раздел │ │ │ │ 9.6 │ ├──────────────┴──────────────────────────────────────────┴────────────────────┤ │ Проверка (мониторинг и анализ) СМИБ │ ├──────────────┬──────────────────────────────────────────┬────────────────────┤ │ M19 │Мониторинг и контроль защитных мер, │ элемент │ │ │включая регистрацию действий и событий, │ перечисления а) │ │ │связанных со СМИБ │ раздела 9.3, │ │ │ │ раздел 10.9 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M20 │Анализ эффективности СМИБ, включая │ элемент │ │ │анализ уровней остаточного и приемлемого │ перечисления б) │ │ │рисков ИБ │ раздела 9.3 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M21 │Внутренний аудит СМИБ │ элемент │ │ │ │ перечисления в) │ │ │ │раздела 9.3, раздел │ │ │ │ 10 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M22 │Анализ СМИБ со стороны высшего │ элемент │ │ │руководства │ перечисления г) │ │ │ │ раздела 9.3 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M23 │Внешний аудит СМИБ │ элемент │ │ │ │ перечисления д) │ │ │ │раздела 9.3, раздел │ │ │ │ 10 │ ├──────────────┴──────────────────────────────────────────┴────────────────────┤ │ Совершенствование СМИБ │ ├──────────────┬──────────────────────────────────────────┬────────────────────┤ │ M24 │Реализация тактических улучшений в СМИБ │ элемент │ │ │ │ перечисления а) │ │ │ │ раздела 9.4 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M25 │Реализация стратегических улучшений │ элемент │ │ │СМИБ. Использование опыта │ перечисления б) │ │ │ │ раздела 9.4 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M26 │Информирование об изменениях и их │ элемент │ │ │согласование с заинтересованными │ перечисления в) │ │ │сторонами │ раздела 9.4 │ ├──────────────┼──────────────────────────────────────────┼────────────────────┤ │ M27 │Оценка достижения поставленных целей │ элемент │ │ │ │ перечисления г) │ │ │ │ раздела 9.4 │ └──────────────┴──────────────────────────────────────────┴────────────────────┘ 8.3. Частные показатели по направлению оценки "менеджмент ИБ . организации" (показатели M9 - M27) и метрики приведены в . приложении А. 8.4. Оценка частного показателя ИБ (EV ) определяется Mi.j посредством экспертного оценивания. Для принятия решения следует производить анализ нормативных, распорядительных, программных и других документов организации БС РФ, имеющих отношение к проверяемым областям ИБ, и уточнять полученную информацию с помощью опросов сотрудников организации БС РФ и наблюдения за деятельностью. Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о невыполнении соответствующих требований ИБ (отсутствии процессов менеджмента), то оценке EV Mi.j присваивается значение, равное нулю. Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о частичном выполнении соответствующих требований ИБ (частичной реализации процессов менеджмента), то оценка EV по решению аудиторской группы может Mi.j быть установлена равной 0,25; 0,5 или 0,75 (в зависимости от степени выполнения требований ИБ или реализации процессов менеджмента). Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о полном выполнении соответствующих требований ИБ (реализации процессов менеджмента), то оценке EV присваивается значение, равное единице. Mi.j 8.5. Оценка группового показателя (EV ) вычисляется из оценок Mi входящих в него частных показателей (EV ) с учетом Mi.j коэффициентов значимости альфа : i.j EV = SUMальфа x EV , Mi j i.j Mi.j . где j = 1 - Ni; . Ni - количество частных показателей ИБ, представляющих групповой показатель Mi; . i = 9 - 27. . Коэффициенты значимости альфа для каждого частного i.j показателя приведены в приложении А. 8.6. Оценки EV и EV , полученные в результате оценивания Mi.j Mi . групповых показателей ИБ M9 - M27, вносятся в соответствующие . графы представленных в приложении А форм. 8.7. Оценка EV2 , определяющая уровень процессов планирования ПЛ СМИБ организации БС РФ, вычисляется по формуле: 13 SUMEV i=9 Mi EV2 = ---------. ПЛ 5 8.8. Оценка EV2 , определяющая уровень процессов реализации и Р эксплуатации СМИБ организации БС РФ, вычисляется по формуле: 18 SUMEV i=14 Mi EV2 = ---------. Р 5 8.9. Оценка EV2 , определяющая уровень процессов проверки ПР СМИБ организации БС РФ, вычисляется по формуле: 23 SUMEV i=19 Mi EV2 = ---------. ПР 5 8.10. Оценка EV2 , определяющая уровень процессов С совершенствования СМИБ организации БС РФ, вычисляется по формуле: 27 SUMEV i=24 Mi EV2 = ---------. С 4 8.11. Итоговая оценка EV2, отражающая уровень процессов СМИБ организации БС РФ, определяется по наименьшему значению из оценок EV2 , EV2 , EV2 и EV2 . ПЛ Р ПР С 8.12. Оценки EV , полученные в результате оценивания Mi . групповых показателей ИБ M9 - M27, отображаются на круговой . диаграмме (см. раздел 10) в секторах с 9-го по 27-й дугами, отстающими от центра круговой диаграммы на величину, соответствующую значению этих оценок.

8.13. Оценка EV2 отображается на круговой диаграмме (см. раздел 10) в секторах с 9-го по 27-й дугой, отстающей от центра круговой диаграммы на величину, соответствующую значению EV2.

9. Оценка уровня осознания

информационной безопасности организации банковской

системы Российской Федерации

9.1. Уровень осознания ИБ организации БС РФ определяется с помощью групповых и частных показателей ИБ, позволяющих оценить степень выполнения (соблюдения) общих и специальных принципов обеспечения ИБ организации БС РФ, определенных в разделе 6 СТО БР ИББС-1.0:

- своевременность обнаружения проблем;

- прогнозируемость развития проблем;

- оценка влияния проблем на бизнес-цели;

- адекватность защитных мер;

- эффективность защитных мер;

- использование опыта при принятии и реализации решений;

- непрерывность принципов безопасного функционирования;

- контролируемость защитных мер;

- определенность целей;

- знание своих клиентов и служащих;

- персонификация и адекватное разделение ролей и ответственности;

- адекватность ролей функциям и процедурам и их сопоставимость с критериями и системой оценки;

- доступность услуг и сервисов;

- наблюдаемость и оцениваемость обеспечения ИБ.

. 9.2. Групповые показатели M28 - M32 предназначены для оценки . уровня осознания ИБ. Они отражают общие принципы безопасного функционирования и специальные принципы обеспечения ИБ организации БС РФ, определенные в разделе 6 СТО БР ИББС-1.0. Таблица 4 отражает соответствие между структурными элементами СТО БР ИББС-1.0, содержащими принципы ИБ, и групповыми показателями ИБ, предназначенными для оценивания уровня осознания ИБ.

Таблица 4. Соответствие групповых показателей ИБ общим и специальным принципам БР ИББС-1.0

┌───────────────┬──────────────────────────────────────────┬───────────────────┐ │ Обозначение │ Наименование группового показателя ИБ │ Структурный │ │ группового │ │ элемент СТО БР │ │ показателя ИБ │ │ ИББС-1.0 │ ├───────────────┼──────────────────────────────────────────┼───────────────────┤ │ M28 │Своевременность обнаружения проблем, │ пункты 6.1.1, │ │ │прогноз развития проблем ИБ и оценка их │ 6.1.2, 6.1.3 │ │ │влияния на бизнес-цели организации БС РФ │ │ ├───────────────┼──────────────────────────────────────────┼───────────────────┤ │ M29 │Определенность целей, адекватность выбора │ пункты 6.1.4, │ │ │защитных мер, их эффективность и │ 6.1.5, 6.1.8, │ │ │контролируемость │ 6.2.1 │ ├───────────────┼──────────────────────────────────────────┼───────────────────┤ │ M30 │Непрерывность обеспечения ИБ и │ пункты 6.1.6, │ │ │использование опыта при принятии и │ 6.1.7 │ │ │реализации решений │ │ ├───────────────┼──────────────────────────────────────────┼───────────────────┤ │ M31 │Знание своих клиентов и служащих, │ пункты 6.2.2, │ │ │персонификация и адекватное разделение │ 6.2.3, 6.2.4 │ │ │ролей и ответственности, адекватность │ │ │ │ролей функциям и процедурам │ │ ├───────────────┼──────────────────────────────────────────┼───────────────────┤ │ M32 │Доступность услуг и сервисов, │ пункты 6.2.5, │ │ │наблюдаемость и оцениваемость обеспечения │ 6.2.6 │ │ │ИБ │ │ └───────────────┴──────────────────────────────────────────┴───────────────────┘ 9.3. Частные показатели ИБ по направлению оценки "уровень осознания ИБ организации" дают возможность определить степень реализации общих принципов безопасного функционирования организации БС РФ и специальных принципов обеспечения ИБ организации БС РФ. Частные показатели по направлению оценки . "уровень осознания ИБ организации" (показатели M28 - M32) и . метрики приведены в приложении А. 9.4. Оценка частных показателей ИБ (EV ) определяется Mi.j посредством экспертного оценивания. Для принятия решения следует производить анализ нормативно-распорядительных и других документов организации БС РФ, имеющих отношение к общим принципам безопасного функционирования и специальным принципам обеспечения ИБ, определенным в разделе 6 СТО БР ИББС-1.0, и уточнять полученную информацию с помощью опросов сотрудников организации БС РФ и наблюдения за деятельностью организации БС РФ по выполнению общих принципов безопасного функционирования и специальных принципов обеспечения ИБ организации БС РФ. Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о невыполнении соответствующих принципов, то оценке EV присваивается значение, равное нулю. Mi.j Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о частичном выполнении соответствующих принципов, то оценка EV по решению аудиторской Mi.j группы может быть установлена равной 0,25; 0,5 или 0,75 (в зависимости от степени выполнения принципов соответствующих принципов ИБ). Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о полном выполнении соответствующих принципов, то оценке EV присваивается Mi.j значение, равное единице. 9.5. Оценка группового показателя (EV ) вычисляется из оценок Mi входящих в него частных показателей (EV ) с учетом Mi.j коэффициентов значимости альфа : i.j EV = SUMальфа x EV , Mi j i.j Mi.j . где j = 1 - N ; . i N - количество частных показателей ИБ, представляющих i групповой показатель Mi; . i = 28 - 32. . Коэффициенты значимости альфа для каждого частного i.j показателя приведены в приложении А. 9.6. Оценки EV и EV , полученные в результате оценивания Mi.j Mi . групповых показателей ИБ M28 - M32, вносятся в соответствующие . графы представленных в приложении А форм.

9.7. Итоговая оценка EV3, отражающая уровень осознания ИБ для деятельности организации БС РФ, вычисляется по формуле:

32 SUMEV i=28 Mi ---------. 5 9.8. Оценки EV , полученные в результате оценивания групповых Mi . показателей ИБ M28 - M32, отображаются на круговой диаграмме (см. . раздел 10) в секторах с 28-го по 32-й дугами, отстающими от центра круговой диаграммы на величину, соответствующую значению этих оценок.

9.9. Оценка EV3 отображается на круговой диаграмме (см. раздел 10) в секторах с 28-го по 32-й дугой, отстающей от центра круговой диаграммы на величину, соответствующую значению EV3.

10. Определение уровня соответствия информационной

безопасности организации банковской системы Российской

Федерации требованиям СТО БР ИББС-1.0. Отображение оценок

10.1. Если оценка EV1, EV2 или EV3 лежит в интервале от 0 до 0,25, то данному направлению оценки присваивается нулевой уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,25 до 0,5, то данному направлению оценки присваивается первый уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,5 до 0,7, то данному направлению оценки присваивается второй уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,7 до 0,85, то данному направлению оценки присваивается третий уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,85 до 0,95, то данному направлению оценки присваивается четвертый уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,95 до 1 включительно, то данному направлению оценки присваивается пятый уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

10.2. Значение R определяется по наименьшему значению из трех оценок по направлениям оценки:

- оценки уровня осознания ИБ организации (EV3);

- оценки менеджмента ИБ организации (EV2);

- оценки текущего уровня ИБ организации (EV1).

10.3. Полученное в результате оценки соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0 значение R является основой для формирования аудиторского заключения по результатам аудита ИБ.

10.4. Значения R, соответствующие четвертому и пятому уровням, являются рекомендуемыми Банком России.

Значения R, соответствующие уровням с нулевого по третий, не являются рекомендуемыми Банком России.

10.5. Рисунок 1 представляет из себя круговую диаграмму для отображения результатов оценивания.

Рисунок 1. Круговая диаграмма для отображения результатов оценивания

Секторы с 1-го по 8-й используются для отображения оценки текущего уровня ИБ организации БС РФ.

Секторы с 9-го по 27-й используются для отображения оценки процессов менеджмента ИБ организации БС РФ.

Секторы с 28-го по 32-й используются для отображения оценки уровня осознания ИБ организации БС РФ.

Пятому уровню соответствуют окружность радиусом 0,95 и кольцо до окружности радиусом 1.

Четвертому уровню соответствуют окружность радиусом 0,85 и кольцо до окружности радиусом 0,95.

Третьему уровню соответствуют окружность радиусом 0,7 и кольцо до окружности радиусом 0,85.

Второму уровню соответствуют окружность радиусом 0,5 и кольцо до окружности радиусом 0,7.

Первому уровню соответствуют окружность радиусом 0,25 и кольцо до окружности радиусом 0,5.

Нулевому уровню соответствуют круг до окружности радиусом 0,25.

Приложение А

(обязательное)

ПОКАЗАТЕЛИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Групповой показатель M1 "Обеспечение

информационной безопасности при назначении и распределении

ролей и обеспечении доверия к персоналу"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.1 │Определены ли роли персонала │ │ │ │ │ │ │ 0,09 │ │ │ │организации БС РФ (далее - │ │ │ │ │ │ │ │ │ │ │организации)? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.2 │Персонифицированы ли роли в │ │ │ │ │ │ │ 0,09 │ │ │ │организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.3 │Установлена ли ответственность│ │ │ │ │ │ │ 0,09 │ │ │ │за исполнение ролей, │ │ │ │ │ │ │ │ │ │ │зафиксированная в должностных │ │ │ │ │ │ │ │ │ │ │инструкциях персонала? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.4 │Отсутствуют ли в организации │ │ │ │ │ │ │ 0,09 │ │ │ │роли, концентрирующие в себе │ │ │ │ │ │ │ │ │ │ │все или большинство наиболее │ │ │ │ │ │ │ │ │ │ │важных функций, необходимых │ │ │ │ │ │ │ │ │ │ │для реализации одной из целей │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.5 │Отсутствует ли совмещение в │ │ │ │ │ │ │ 0,09 │ │ │ │одном лице ролей исполнителя и│ │ │ │ │ │ │ │ │ │ │администратора, администратора│ │ │ │ │ │ │ │ │ │ │и контролера, исполнителя и │ │ │ │ │ │ │ │ │ │ │контролера и подобное? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.6 │Все ли роли в организации │ │ │ │ │ │ │ 0,09 │ │ │ │обеспечены ресурсами, │ │ │ │ │ │ │ │ │ │ │необходимыми и достаточными │ │ │ │ │ │ │ │ │ │ │для их выполнения? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.7 │Возложена ли на руководство │ │ │ │ │ │ │ 0,09 │ │ │ │(уполномоченного менеджера, │ │ │ │ │ │ │ │ │ │ │высшего менеджера и т.п.) │ │ │ │ │ │ │ │ │ │ │обязанность по координации │ │ │ │ │ │ │ │ │ │ │своевременности и качества │ │ │ │ │ │ │ │ │ │ │выполнения сотрудниками своих │ │ │ │ │ │ │ │ │ │ │ролей? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.8 │Существуют ли в организации │ │ │ │ │ │ │ 0,09 │ │ │ │выделенные роли для контроля │ │ │ │ │ │ │ │ │ │ │за качеством выполнения │ │ │ │ │ │ │ │ │ │ │требований ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.9 │Выполняются ли при приеме на │ │ │ │ │ │ │ 0,0724 │ │ │ │работу проверки идентичности │ │ │ │ │ │ │ │ │ │ │личности, точности и полноты │ │ │ │ │ │ │ │ │ │ │биографических фактов и │ │ │ │ │ │ │ │ │ │ │заявляемой квалификации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.10 │Проводятся ли проверки │ │ │ │ │ │ │ 0,0724 │ │ │ │профессиональных навыков и │ │ │ │ │ │ │ │ │ │ │оценка профессиональной │ │ │ │ │ │ │ │ │ │ │пригодности кандидатов при │ │ │ │ │ │ │ │ │ │ │приеме на работу, связанную с │ │ │ │ │ │ │ │ │ │ │защищаемыми активами и │ │ │ │ │ │ │ │ │ │ │операциями? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.11 │Имеются ли письменные │ │ │ │ │ │ │ 0,045 │ │ │ │обязательства сотрудников о │ │ │ │ │ │ │ │ │ │ │соблюдении конфиденциальности │ │ │ │ │ │ │ │ │ │ │всей защищаемой информации, │ │ │ │ │ │ │ │ │ │ │доверенной или ставшей им │ │ │ │ │ │ │ │ │ │ │известной в процессе │ │ │ │ │ │ │ │ │ │ │выполнения служебных │ │ │ │ │ │ │ │ │ │ │обязанностей, а также о │ │ │ │ │ │ │ │ │ │ │приверженности правилам │ │ │ │ │ │ │ │ │ │ │корпоративной этики, включая │ │ │ │ │ │ │ │ │ │ │требования по недопущению │ │ │ │ │ │ │ │ │ │ │конфликта интересов? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.12 │Обеспечивается ли │ │ │ │ │ │ │ 0,045 │ │ │ │компетентность персонала в │ │ │ │ │ │ │ │ │ │ │области ИБ с помощью процессов│ │ │ │ │ │ │ │ │ │ │обучения, осведомленности │ │ │ │ │ │ │ │ │ │ │персонала, а также │ │ │ │ │ │ │ │ │ │ │периодической проверки его │ │ │ │ │ │ │ │ │ │ │компетентности в области ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M1.13 │Определены ли в трудовых │ │ │ │ │ │ │ 0,0452 │ │ │ │контрактах всех сотрудников │ │ │ │ │ │ │ │ │ │ │обязанности по выполнению │ │ │ │ │ │ │ │ │ │ │требований ИБ? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤ │ Итоговая оценка группового показателя M1 │ │ └──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M2 "Обеспечение информационной

безопасности автоматизированных банковских

систем на стадиях жизненного цикла"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.1 │Всегда ли выдвижение │ │ │ │ │ │ │ 0,1087 │ │ │ │технических требований, │ │ │ │ │ │ │ │ │ │ │разработка технических │ │ │ │ │ │ │ │ │ │ │заданий, проектирование, │ │ │ │ │ │ │ │ │ │ │создание, тестирование и │ │ │ │ │ │ │ │ │ │ │приемка средств обеспечения ИБ│ │ │ │ │ │ │ │ │ │ │АБС осуществляются по │ │ │ │ │ │ │ │ │ │ │согласованию с подразделениями│ │ │ │ │ │ │ │ │ │ │(лицами) в организации, │ │ │ │ │ │ │ │ │ │ │ответственными за обеспечение │ │ │ │ │ │ │ │ │ │ │ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.2 │Всегда ли ввод в действие, │ │ │ │ │ │ │ 0,1087 │ │ │ │эксплуатация, снятие с │ │ │ │ │ │ │ │ │ │ │эксплуатации АБС │ │ │ │ │ │ │ │ │ │ │осуществляются при участии │ │ │ │ │ │ │ │ │ │ │подразделений (лиц) в │ │ │ │ │ │ │ │ │ │ │организации, ответственных за │ │ │ │ │ │ │ │ │ │ │обеспечение ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.3 │Применяются (применялись) ли │ │ │ │ │ │ │ 0,098 │ │ │ │на стадии разработки АБС │ │ │ │ │ │ │ │ │ │ │разработчиками меры для защиты│ │ │ │ │ │ │ │ │ │ │от угроз ИБ: │ │ │ │ │ │ │ │ │ │ │- принятия неверных проектных │ │ │ │ │ │ │ │ │ │ │решений; │ │ │ │ │ │ │ │ │ │ │- внесения дефектов на уровне │ │ │ │ │ │ │ │ │ │ │архитектурных решений; │ │ │ │ │ │ │ │ │ │ │- внесения недокументированных│ │ │ │ │ │ │ │ │ │ │возможностей в АБС; │ │ │ │ │ │ │ │ │ │ │- неадекватной (неполной, │ │ │ │ │ │ │ │ │ │ │противоречивой, некорректной и│ │ │ │ │ │ │ │ │ │ │пр.) реализации требований к │ │ │ │ │ │ │ │ │ │ │АБС; │ │ │ │ │ │ │ │ │ │ │- угрозы разработки │ │ │ │ │ │ │ │ │ │ │некачественной документации; │ │ │ │ │ │ │ │ │ │ │- сборки АБС │ │ │ │ │ │ │ │ │ │ │разработчиком/производителем с│ │ │ │ │ │ │ │ │ │ │нарушением требований; │ │ │ │ │ │ │ │ │ │ │- неверного конфигурирования │ │ │ │ │ │ │ │ │ │ │АБС; │ │ │ │ │ │ │ │ │ │ │- приемки АБС, не отвечающей │ │ │ │ │ │ │ │ │ │ │требованиям заказчика; │ │ │ │ │ │ │ │ │ │ │- внесения недокументированных│ │ │ │ │ │ │ │ │ │ │возможностей в АБС в процессе │ │ │ │ │ │ │ │ │ │ │проведения приемочных │ │ │ │ │ │ │ │ │ │ │испытаний посредством │ │ │ │ │ │ │ │ │ │ │недокументированных │ │ │ │ │ │ │ │ │ │ │возможностей функциональных │ │ │ │ │ │ │ │ │ │ │тестов и тестов ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.4 │Имеют ли соответствующие │ │ │ │ │ │ │ 0,086 │ │ │ │лицензии организации, которые │ │ │ │ │ │ │ │ │ │ │привлекаются на договорной │ │ │ │ │ │ │ │ │ │ │основе для разработки и/или │ │ │ │ │ │ │ │ │ │ │производства средств │ │ │ │ │ │ │ │ │ │ │обеспечения ИБ АБС? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.5 │Получает ли организация │ │ │ │ │ │ │ 0,1086 │ │ │ │документацию по всем │ │ │ │ │ │ │ │ │ │ │приобретаемым АБС и их │ │ │ │ │ │ │ │ │ │ │компонентам, содержащую │ │ │ │ │ │ │ │ │ │ │описание защитных мер, │ │ │ │ │ │ │ │ │ │ │предпринятых разработчиком │ │ │ │ │ │ │ │ │ │ │АБС, и их компонентов │ │ │ │ │ │ │ │ │ │ │относительно безопасности │ │ │ │ │ │ │ │ │ │ │разработки, безопасности │ │ │ │ │ │ │ │ │ │ │поставки и эксплуатации, │ │ │ │ │ │ │ │ │ │ │поддержки жизненного цикла, │ │ │ │ │ │ │ │ │ │ │и оценку уязвимостей? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.6 │Обеспечивают ли на стадии │ │ │ │ │ │ │ 0,098 │ │ │ │эксплуатации применяемые меры │ │ │ │ │ │ │ │ │ │ │и средства обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │защиту от угроз │ │ │ │ │ │ │ │ │ │ │несанкционированного │ │ │ │ │ │ │ │ │ │ │раскрытия, модификации или │ │ │ │ │ │ │ │ │ │ │уничтожения информации, │ │ │ │ │ │ │ │ │ │ │недоставки или ошибочной │ │ │ │ │ │ │ │ │ │ │доставки информации, отказа в │ │ │ │ │ │ │ │ │ │ │обслуживании или ухудшения │ │ │ │ │ │ │ │ │ │ │обслуживания, отказа от │ │ │ │ │ │ │ │ │ │ │авторства сообщений? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.7 │Обеспечивается ли возможность │ │ │ │ │ │ │ 0,098 │ │ │ │сопровождения всех АБС │ │ │ │ │ │ │ │ │ │ │организации и их компонентов │ │ │ │ │ │ │ │ │ │ │(наличием договоров │ │ │ │ │ │ │ │ │ │ │сопровождения или полным │ │ │ │ │ │ │ │ │ │ │комплектом рабочей │ │ │ │ │ │ │ │ │ │ │конструкторской документации)?│ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.8 │Применяются ли на стадии │ │ │ │ │ │ │ 0,098 │ │ │ │сопровождения меры для защиты │ │ │ │ │ │ │ │ │ │ │от угрозы внесения изменений в│ │ │ │ │ │ │ │ │ │ │АБС, приводящих к нарушению │ │ │ │ │ │ │ │ │ │ │функциональности АБС либо к │ │ │ │ │ │ │ │ │ │ │появлению недокументированных │ │ │ │ │ │ │ │ │ │ │возможностей, а также для │ │ │ │ │ │ │ │ │ │ │защиты от угрозы невнесения │ │ │ │ │ │ │ │ │ │ │разработчиком/поставщиком │ │ │ │ │ │ │ │ │ │ │изменений, необходимых для │ │ │ │ │ │ │ │ │ │ │поддержки правильного │ │ │ │ │ │ │ │ │ │ │функционирования и состояния │ │ │ │ │ │ │ │ │ │ │АБС? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.9 │Применяются ли на стадии │ │ │ │ │ │ │ 0,098 │ │ │ │снятия с эксплуатации меры для│ │ │ │ │ │ │ │ │ │ │защиты от угроз ненадежного │ │ │ │ │ │ │ │ │ │ │удаления информации, │ │ │ │ │ │ │ │ │ │ │несанкционированное │ │ │ │ │ │ │ │ │ │ │использование которой может │ │ │ │ │ │ │ │ │ │ │нанести ущерб бизнес- │ │ │ │ │ │ │ │ │ │ │деятельности организации, и │ │ │ │ │ │ │ │ │ │ │информации, используемой │ │ │ │ │ │ │ │ │ │ │средствами обеспечения ИБ, из │ │ │ │ │ │ │ │ │ │ │постоянной памяти АБС или с │ │ │ │ │ │ │ │ │ │ │внешних носителей? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M2.10 │Включаются ли требования ИБ во│ │ │ │ │ │ │ 0,098 │ │ │ │все договоры и контракты на │ │ │ │ │ │ │ │ │ │ │проведение работ или оказание │ │ │ │ │ │ │ │ │ │ │услуг на всех стадиях │ │ │ │ │ │ │ │ │ │ │жизненного цикла АБС? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┼───────────────┼─────────────┤ │ Итоговая оценка группового показателя M2 │ │ │ └──────────────────────────────────────────────────────────────────────────┴───────────────┴─────────────┘

Групповой показатель M3 "Обеспечение информационной

безопасности при управлении доступом и регистрации"

Групповой показатель M4 "Обеспечение информационной

безопасности средствами антивирусной защиты"

Групповой показатель M5 "Обеспечение информационной

безопасности при использовании ресурсов сети Интернет"

Групповой показатель M6 "Обеспечение

информационной безопасности при использовании средств

криптографической защиты информации"

Групповой показатель M7

"Обеспечение информационной безопасности банковских

платежных технологических процессов"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M7.1 │Определен (отражен) ли │ │ │ │ │ │ │ 0,13 │ │ │ │однозначно в нормативно- │ │ │ │ │ │ │ │ │ │ │методических документах │ │ │ │ │ │ │ │ │ │ │организации банковский │ │ │ │ │ │ │ │ │ │ │платежный технологический │ │ │ │ │ │ │ │ │ │ │процесс? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M7.2 │Зафиксирован ли порядок обмена│ │ │ │ │ │ │ 0,13 │ │ │ │платежной информацией в │ │ │ │ │ │ │ │ │ │ │договорах между участниками │ │ │ │ │ │ │ │ │ │ │данного обмена? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M7.3 │Отсутствуют ли сотрудники, │ │ │ │ │ │ │ 0,13 │ │ │ │обладающие всеми полномочиями │ │ │ │ │ │ │ │ │ │ │на бесконтрольное создание, │ │ │ │ │ │ │ │ │ │ │авторизацию, уничтожение и │ │ │ │ │ │ │ │ │ │ │изменение платежной │ │ │ │ │ │ │ │ │ │ │информации, а также проведение│ │ │ │ │ │ │ │ │ │ │операций по изменению │ │ │ │ │ │ │ │ │ │ │состояния банковских счетов? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M7.4 │Контролируются ли и │ │ │ │ │ │ │ 0,13 │ │ │ │удостоверяются ли результаты │ │ │ │ │ │ │ │ │ │ │технологических операций по │ │ │ │ │ │ │ │ │ │ │обработке платежной информации│ │ │ │ │ │ │ │ │ │ │обязательными процедурами │ │ │ │ │ │ │ │ │ │ │контроля, независимыми от │ │ │ │ │ │ │ │ │ │ │процесса обработки? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M7.5 │Назначены ли на каждом │ │ │ │ │ │ │ 0,13 │ │ │ │технологическом участке │ │ │ │ │ │ │ │ │ │ │ответственные за │ │ │ │ │ │ │ │ │ │ │администрирование средств │ │ │ │ │ │ │ │ │ │ │защиты платежной информации │ │ │ │ │ │ │ │ │ │ │(администраторы ИБ)? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M7.6 │Существует ли нормативный │ │ │ │ │ │ │ 0,118 │ │ │ │документ (документы), которым │ │ │ │ │ │ │ │ │ │ │руководствуются администраторы│ │ │ │ │ │ │ │ │ │ │ИБ в своей деятельности? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M7.7 │Предусматривает ли комплекс │ │ │ │ │ │ │ 0,102 │ │ │ │мер по обеспечению ИБ: │ │ │ │ │ │ │ │ │ │ │- защиту платежной информации │ │ │ │ │ │ │ │ │ │ │от искажения, фальсификации, │ │ │ │ │ │ │ │ │ │ │переадресации, │ │ │ │ │ │ │ │ │ │ │несанкционированного │ │ │ │ │ │ │ │ │ │ │уничтожения, ложной │ │ │ │ │ │ │ │ │ │ │авторизации платежных │ │ │ │ │ │ │ │ │ │ │документов; │ │ │ │ │ │ │ │ │ │ │- минимально необходимый, │ │ │ │ │ │ │ │ │ │ │гарантированный доступ │ │ │ │ │ │ │ │ │ │ │сотрудника только к тем │ │ │ │ │ │ │ │ │ │ │ресурсам банковского │ │ │ │ │ │ │ │ │ │ │платежного технологического │ │ │ │ │ │ │ │ │ │ │процесса, которые необходимы │ │ │ │ │ │ │ │ │ │ │ему для исполнения служебных │ │ │ │ │ │ │ │ │ │ │обязанностей или реализации │ │ │ │ │ │ │ │ │ │ │прав, предусмотренных │ │ │ │ │ │ │ │ │ │ │технологией обработки │ │ │ │ │ │ │ │ │ │ │платежной информации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M7.8 │Включает ли комплекс мер по │ │ │ │ │ │ │ 0,13 │ │ │ │обеспечению ИБ: │ │ │ │ │ │ │ │ │ │ │- контроль (мониторинг) │ │ │ │ │ │ │ │ │ │ │исполнения установленной │ │ │ │ │ │ │ │ │ │ │технологии подготовки, │ │ │ │ │ │ │ │ │ │ │обработки, передачи и хранения│ │ │ │ │ │ │ │ │ │ │платежной информации; │ │ │ │ │ │ │ │ │ │ │- аутентификацию платежной │ │ │ │ │ │ │ │ │ │ │информации; │ │ │ │ │ │ │ │ │ │ │- двустороннюю аутентификацию │ │ │ │ │ │ │ │ │ │ │участников обмена платежной │ │ │ │ │ │ │ │ │ │ │информацией и двустороннюю │ │ │ │ │ │ │ │ │ │ │аутентификацию │ │ │ │ │ │ │ │ │ │ │автоматизированных рабочих │ │ │ │ │ │ │ │ │ │ │мест; │ │ │ │ │ │ │ │ │ │ │- восстановление платежной │ │ │ │ │ │ │ │ │ │ │информации в случае ее │ │ │ │ │ │ │ │ │ │ │умышленного (случайного) │ │ │ │ │ │ │ │ │ │ │разрушения (искажения) или │ │ │ │ │ │ │ │ │ │ │выхода из строя средств │ │ │ │ │ │ │ │ │ │ │вычислительной техники; │ │ │ │ │ │ │ │ │ │ │- авторизованный ввод │ │ │ │ │ │ │ │ │ │ │платежной информации в АБС │ │ │ │ │ │ │ │ │ │ │двумя сотрудниками с │ │ │ │ │ │ │ │ │ │ │последующей программной │ │ │ │ │ │ │ │ │ │ │сверкой результатов ввода на │ │ │ │ │ │ │ │ │ │ │совпадение; │ │ │ │ │ │ │ │ │ │ │- сверку выходных платежных │ │ │ │ │ │ │ │ │ │ │сообщений с соответствующими │ │ │ │ │ │ │ │ │ │ │поступившими сообщениями; │ │ │ │ │ │ │ │ │ │ │- гарантированную доставку │ │ │ │ │ │ │ │ │ │ │платежных сообщений участникам│ │ │ │ │ │ │ │ │ │ │обмена? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤ │ Итоговая оценка группового показателя M7 │ │ └──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M8 "Обеспечение информационной

безопасности банковских информационных

технологических процессов"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.1 │Определено ли руководством, │ │ │ │ │ │ │ 0,0848 │ │ │ │какая информация, не │ │ │ │ │ │ │ │ │ │ │являющаяся платежной, подлежит│ │ │ │ │ │ │ │ │ │ │защите, и классифицирована ли │ │ │ │ │ │ │ │ │ │ │данная информация? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.2 │Изолированы ли АБС, │ │ │ │ │ │ │ 0,0848 │ │ │ │обрабатывающие информацию, │ │ │ │ │ │ │ │ │ │ │относящуюся к сведениям, │ │ │ │ │ │ │ │ │ │ │составляющим государственную │ │ │ │ │ │ │ │ │ │ │тайну, и сведениям │ │ │ │ │ │ │ │ │ │ │ограниченного распространения,│ │ │ │ │ │ │ │ │ │ │полученным из федеральных │ │ │ │ │ │ │ │ │ │ │органов исполнительной власти │ │ │ │ │ │ │ │ │ │ │(если такие АБС имеются), от │ │ │ │ │ │ │ │ │ │ │прочих АБС организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.3 │Назначен ли в АБС │ │ │ │ │ │ │ 0,0848 │ │ │ │администратор ИБ, если в АБС │ │ │ │ │ │ │ │ │ │ │обрабатывается информация, │ │ │ │ │ │ │ │ │ │ │требующая по решению │ │ │ │ │ │ │ │ │ │ │руководства защиты? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.4 │Отсутствует ли совмещение в │ │ │ │ │ │ │ 0,0848 │ │ │ │одном лице функций │ │ │ │ │ │ │ │ │ │ │администратора АБС и │ │ │ │ │ │ │ │ │ │ │администратора ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.5 │Отсутствуют ли в роли │ │ │ │ │ │ │ 0,0848 │ │ │ │администратора ИБ правила, │ │ │ │ │ │ │ │ │ │ │пересекающиеся с правилами │ │ │ │ │ │ │ │ │ │ │роли администратора АБС? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.6 │Осуществляет ли администратор │ │ │ │ │ │ │ 0,0848 │ │ │ │ИБ контроль над действиями │ │ │ │ │ │ │ │ │ │ │администраторов АБС и │ │ │ │ │ │ │ │ │ │ │пользователей? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.7 │Назначаются ли права доступа к│ │ │ │ │ │ │ 0,0848 │ │ │ │информации подразделением, │ │ │ │ │ │ │ │ │ │ │ответственным за эту │ │ │ │ │ │ │ │ │ │ │информацию (владельцем │ │ │ │ │ │ │ │ │ │ │информационного актива)? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.8 │Определен ли порядок контроля │ │ │ │ │ │ │ 0,0848 │ │ │ │функционирования каждой АБС │ │ │ │ │ │ │ │ │ │ │лицами, отвечающими за ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.9 │Регламентированы ли и │ │ │ │ │ │ │ 0,0848 │ │ │ │согласованы ли со службой ИБ │ │ │ │ │ │ │ │ │ │ │процессы подготовки, ввода, │ │ │ │ │ │ │ │ │ │ │обработки и хранения │ │ │ │ │ │ │ │ │ │ │информации, а также порядок │ │ │ │ │ │ │ │ │ │ │установки, настройки, │ │ │ │ │ │ │ │ │ │ │эксплуатации и восстановления │ │ │ │ │ │ │ │ │ │ │технических и программных │ │ │ │ │ │ │ │ │ │ │средств? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.10 │Регламентировано ли и │ │ │ │ │ │ │ 0,076 │ │ │ │согласовано ли со службой ИБ │ │ │ │ │ │ │ │ │ │ │тестирование всех функций по │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ, реализованных │ │ │ │ │ │ │ │ │ │ │программно-техническими │ │ │ │ │ │ │ │ │ │ │средствами? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.11 │Проводится ли периодическое │ │ │ │ │ │ │ 0,076 │ │ │ │тестирование всех │ │ │ │ │ │ │ │ │ │ │реализованных программно- │ │ │ │ │ │ │ │ │ │ │техническими средствами │ │ │ │ │ │ │ │ │ │ │функций по обеспечению ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M8.12 │Регламентирована ли в │ │ │ │ │ │ │ 0,0848 │ │ │ │организации процедура │ │ │ │ │ │ │ │ │ │ │восстановления всех │ │ │ │ │ │ │ │ │ │ │реализованных программно- │ │ │ │ │ │ │ │ │ │ │техническими средствами │ │ │ │ │ │ │ │ │ │ │функций по обеспечению ИБ? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤ │ Итоговая оценка группового показателя M8 │ │ └──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M9 "Определение/уточнение области

действия СМИБ и выбор подхода к оценке рисков ИБ"

Групповой показатель M10 "Анализ и оценка рисков ИБ,

варианты обработки рисков ИБ"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.1 │Осуществляется ли в │ │ │ │ │ │ │ 0,0794 │ │ │ │организации оценка рисков ИБ, │ │ │ │ │ │ │ │ │ │ │в том числе связанных с │ │ │ │ │ │ │ │ │ │ │неисполнением требований │ │ │ │ │ │ │ │ │ │ │нормативных актов Банка │ │ │ │ │ │ │ │ │ │ │России, имеющих отношение к │ │ │ │ │ │ │ │ │ │ │ИБ, а также связанных с │ │ │ │ │ │ │ │ │ │ │угрозами нарушения процессов │ │ │ │ │ │ │ │ │ │ │управления ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.2 │Существует ли документ │ │ │ │ │ │ │ 0,0714 │ │ │ │(документы), в котором │ │ │ │ │ │ │ │ │ │ │(которых) отражены результаты │ │ │ │ │ │ │ │ │ │ │анализа и оценки рисков ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.3 │Определены ли роли в части │ │ │ │ │ │ │ 0,0794 │ │ │ │деятельности по оценке и │ │ │ │ │ │ │ │ │ │ │обработке рисков ИБ и │ │ │ │ │ │ │ │ │ │ │определена ли ответственность │ │ │ │ │ │ │ │ │ │ │исполнителей, выполняющих │ │ │ │ │ │ │ │ │ │ │данные роли? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.4 │Назначены ли в организации │ │ │ │ │ │ │ 0,0794 │ │ │ │лица, ответственные за │ │ │ │ │ │ │ │ │ │ │управление рисками ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.5 │Выполнена ли идентификация │ │ │ │ │ │ │ 0,0794 │ │ │ │информационных активов и их │ │ │ │ │ │ │ │ │ │ │уязвимостей? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.6 │Выполнена ли оценка │ │ │ │ │ │ │ 0,0794 │ │ │ │потенциального ущерба бизнесу │ │ │ │ │ │ │ │ │ │ │организации в случае │ │ │ │ │ │ │ │ │ │ │реализации угроз ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.7 │Анализируется ли и учитывается│ │ │ │ │ │ │ 0,0714 │ │ │ │ли при оценке рисков ИБ │ │ │ │ │ │ │ │ │ │ │степень актуальности угроз? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.8 │Пересматриваются ли перечень │ │ │ │ │ │ │ 0,0714 │ │ │ │актуальных угроз │ │ │ │ │ │ │ │ │ │ │информационным активам │ │ │ │ │ │ │ │ │ │ │организации и степень их │ │ │ │ │ │ │ │ │ │ │актуальности? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.9 │Анализируется ли и учитывается│ │ │ │ │ │ │ 0,0714 │ │ │ │ли при оценке рисков ИБ │ │ │ │ │ │ │ │ │ │ │степень актуальности │ │ │ │ │ │ │ │ │ │ │уязвимостей информационных │ │ │ │ │ │ │ │ │ │ │активов? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.10 │Пересматривается ли перечень │ │ │ │ │ │ │ 0,0714 │ │ │ │уязвимостей информационных │ │ │ │ │ │ │ │ │ │ │активов организации и степень │ │ │ │ │ │ │ │ │ │ │их актуальности? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.11 │Оценивается ли возможность │ │ │ │ │ │ │ 0,0644 │ │ │ │переноса информационных рисков│ │ │ │ │ │ │ │ │ │ │на другие стороны (например, │ │ │ │ │ │ │ │ │ │ │страховщиков, поставщиков, │ │ │ │ │ │ │ │ │ │ │органы сертификации и т.п.)? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.12 │Учитываются ли данные об │ │ │ │ │ │ │ 0,0644 │ │ │ │инцидентах ИБ при оценке │ │ │ │ │ │ │ │ │ │ │рисков ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.13 │Проводятся ли в организации │ │ │ │ │ │ │ 0,0714 │ │ │ │обсуждения деятельности по │ │ │ │ │ │ │ │ │ │ │оценке и обработке рисков ИБ с│ │ │ │ │ │ │ │ │ │ │участием высшего руководства и│ │ │ │ │ │ │ │ │ │ │руководителя службы ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M10.14 │Определены ли в организации │ │ │ │ │ │ │ 0,0458 │ │ │ │критерии для принятия рисков │ │ │ │ │ │ │ │ │ │ │ИБ и уровни приемлемых рисков │ │ │ │ │ │ │ │ │ │ │ИБ? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤ │ Итоговая оценка группового показателя M10 │ │ └──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M11 "Определение/уточнение

политики ИБ организации"

Групповой показатель M12

"Выбор/уточнение целей ИБ и защитных мер"

Групповой показатель M13 "Принятие

менеджментом организации остаточных рисков и решения

о реализации и эксплуатации/совершенствовании СМИБ"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.1 │Существует ли документ, в │ │ │ │ │ │ │ 0,105 │ │ │ │котором отражено принятие │ │ │ │ │ │ │ │ │ │ │руководством организации │ │ │ │ │ │ │ │ │ │ │остаточных рисков? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.2 │Имеется ли административное и │ │ │ │ │ │ │ 0,105 │ │ │ │кадровое обеспечение комплекса│ │ │ │ │ │ │ │ │ │ │средств управления ИБ │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.3 │Существует ли в организации │ │ │ │ │ │ │ 0,116 │ │ │ │служба ИБ (ответственный за │ │ │ │ │ │ │ │ │ │ │ИБ)? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.4 │Определены ли роли по │ │ │ │ │ │ │ 0,105 │ │ │ │обеспечению ИБ во всех │ │ │ │ │ │ │ │ │ │ │структурных подразделениях │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.5 │Существуют ли документы, │ │ │ │ │ │ │ 0,116 │ │ │ │утвержденные руководством │ │ │ │ │ │ │ │ │ │ │организации, определяющие │ │ │ │ │ │ │ │ │ │ │перечень целей и задач службы │ │ │ │ │ │ │ │ │ │ │ИБ, включающий: │ │ │ │ │ │ │ │ │ │ │- управление всеми планами по │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ организации; │ │ │ │ │ │ │ │ │ │ │- разработку и внесение │ │ │ │ │ │ │ │ │ │ │предложений по изменению │ │ │ │ │ │ │ │ │ │ │политики ИБ организации; │ │ │ │ │ │ │ │ │ │ │- изменение существующих и │ │ │ │ │ │ │ │ │ │ │принятие новых нормативно- │ │ │ │ │ │ │ │ │ │ │методических документов по │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ организации; │ │ │ │ │ │ │ │ │ │ │- выбор средств управления и │ │ │ │ │ │ │ │ │ │ │обеспечения ИБ организации; │ │ │ │ │ │ │ │ │ │ │- контроль пользователей, в │ │ │ │ │ │ │ │ │ │ │первую очередь пользователей, │ │ │ │ │ │ │ │ │ │ │имеющих максимальные │ │ │ │ │ │ │ │ │ │ │полномочия; │ │ │ │ │ │ │ │ │ │ │- контроль активности, │ │ │ │ │ │ │ │ │ │ │связанной с доступом и │ │ │ │ │ │ │ │ │ │ │использованием средств │ │ │ │ │ │ │ │ │ │ │антивирусной защиты, а также с│ │ │ │ │ │ │ │ │ │ │применением других средств │ │ │ │ │ │ │ │ │ │ │обеспечения ИБ организации; │ │ │ │ │ │ │ │ │ │ │- осуществление мониторинга │ │ │ │ │ │ │ │ │ │ │событий, связанных с ИБ │ │ │ │ │ │ │ │ │ │ │организации; │ │ │ │ │ │ │ │ │ │ │- расследование событий, │ │ │ │ │ │ │ │ │ │ │связанных с нарушениями ИБ, и │ │ │ │ │ │ │ │ │ │ │в случае необходимости выхода │ │ │ │ │ │ │ │ │ │ │с предложениями по применению │ │ │ │ │ │ │ │ │ │ │санкций в отношении лиц, │ │ │ │ │ │ │ │ │ │ │осуществивших противоправные │ │ │ │ │ │ │ │ │ │ │действия, например, нарушивших│ │ │ │ │ │ │ │ │ │ │требования инструкций, │ │ │ │ │ │ │ │ │ │ │руководств и т.п. по │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ организации; │ │ │ │ │ │ │ │ │ │ │- участие в действиях по │ │ │ │ │ │ │ │ │ │ │восстановлению │ │ │ │ │ │ │ │ │ │ │работоспособности АБС после │ │ │ │ │ │ │ │ │ │ │сбоев и аварий; │ │ │ │ │ │ │ │ │ │ │- создание, поддержку и │ │ │ │ │ │ │ │ │ │ │совершенствование системы │ │ │ │ │ │ │ │ │ │ │управления ИБ организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.6 │Выделен ли собственный бюджет │ │ │ │ │ │ │ 0,116 │ │ │ │службы ИБ организации в рамках│ │ │ │ │ │ │ │ │ │ │бюджета организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.7 │Имеет ли служба ИБ организации│ │ │ │ │ │ │ 0,105 │ │ │ │собственного куратора на │ │ │ │ │ │ │ │ │ │ │уровне первых лиц в │ │ │ │ │ │ │ │ │ │ │руководстве организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.8 │Взаимодействует ли служба ИБ │ │ │ │ │ │ │ 0,116 │ │ │ │организации с сотрудниками, │ │ │ │ │ │ │ │ │ │ │ответственными за ИБ в │ │ │ │ │ │ │ │ │ │ │структурных подразделениях? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M13.9 │Обеспечена ли служба ИБ │ │ │ │ │ │ │ 0,116 │ │ │ │организации необходимыми и │ │ │ │ │ │ │ │ │ │ │достаточными полномочиями для │ │ │ │ │ │ │ │ │ │ │выполнения установленных целей│ │ │ │ │ │ │ │ │ │ │и задач? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤ │ Итоговая оценка группового показателя M13 │ │ └──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M14

"Разработка плана обработки рисков ИБ"

Групповой показатель M15 "Реализация плана обработки

рисков ИБ и реализация защитных мер, управление работами

и ресурсами, связанными с реализацией СМИБ"

Групповой показатель M16 "Реализация программ

по обучению и осведомлению ИБ"

Групповой показатель M17 "Обнаружение

и реагирование на инциденты безопасности"

Групповой показатель M18 "Обеспечение непрерывности

бизнеса и восстановления после прерываний"

Групповой показатель M19 "Мониторинг и контроль

защитных мер, включая регистрацию действий и событий,

связанных со СМИБ"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.1 │Существуют ли документы, │ │ │ │ │ │ │ 0,0926 │ │ │ │определяющие процедуры │ │ │ │ │ │ │ │ │ │ │мониторинга и контроля │ │ │ │ │ │ │ │ │ │ │защитных мер, включая │ │ │ │ │ │ │ │ │ │ │регистрацию действий и │ │ │ │ │ │ │ │ │ │ │событий, связанных со СМИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.2 │Определены ли в документах │ │ │ │ │ │ │ 0,0926 │ │ │ │организации и выполняются ли │ │ │ │ │ │ │ │ │ │ │процедуры мониторинга и │ │ │ │ │ │ │ │ │ │ │контроля изменений и │ │ │ │ │ │ │ │ │ │ │использования прав доступа │ │ │ │ │ │ │ │ │ │ │пользователей? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.3 │Определены ли в документах │ │ │ │ │ │ │ 0,0926 │ │ │ │организации и выполняются ли │ │ │ │ │ │ │ │ │ │ │процедуры мониторинга и │ │ │ │ │ │ │ │ │ │ │контроля средств и подсистем │ │ │ │ │ │ │ │ │ │ │управления доступом и │ │ │ │ │ │ │ │ │ │ │регистрации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.4 │Определены ли в документах │ │ │ │ │ │ │ 0,0926 │ │ │ │организации и выполняются ли │ │ │ │ │ │ │ │ │ │ │процедуры мониторинга и │ │ │ │ │ │ │ │ │ │ │контроля использования │ │ │ │ │ │ │ │ │ │ │оборудования и выявления │ │ │ │ │ │ │ │ │ │ │нештатных (или злоумышленных) │ │ │ │ │ │ │ │ │ │ │действий в организации, а │ │ │ │ │ │ │ │ │ │ │также выявления потенциальных │ │ │ │ │ │ │ │ │ │ │нарушений ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.5 │Определены ли в документах │ │ │ │ │ │ │ 0,0926 │ │ │ │организации и выполняются ли │ │ │ │ │ │ │ │ │ │ │процедуры мониторинга и │ │ │ │ │ │ │ │ │ │ │контроля функционирования │ │ │ │ │ │ │ │ │ │ │средств антивирусной защиты? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.6 │Определены ли в документах │ │ │ │ │ │ │ 0,0926 │ │ │ │организации и выполняются ли │ │ │ │ │ │ │ │ │ │ │процедуры мониторинга и │ │ │ │ │ │ │ │ │ │ │контроля использования │ │ │ │ │ │ │ │ │ │ │ресурсов сети Интернет? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.7 │Определены ли в документах │ │ │ │ │ │ │ 0,0926 │ │ │ │организации и выполняются ли │ │ │ │ │ │ │ │ │ │ │процедуры мониторинга и │ │ │ │ │ │ │ │ │ │ │контроля использования средств│ │ │ │ │ │ │ │ │ │ │криптографической защиты │ │ │ │ │ │ │ │ │ │ │информации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.8 │Определены ли в документах │ │ │ │ │ │ │ 0,0926 │ │ │ │организации и выполняются ли │ │ │ │ │ │ │ │ │ │ │процедуры мониторинга и │ │ │ │ │ │ │ │ │ │ │контроля банковских платежных │ │ │ │ │ │ │ │ │ │ │технологических процессов? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.9 │Определены ли в документах │ │ │ │ │ │ │ 0,0926 │ │ │ │организации и выполняются ли │ │ │ │ │ │ │ │ │ │ │процедуры мониторинга и │ │ │ │ │ │ │ │ │ │ │контроля банковских │ │ │ │ │ │ │ │ │ │ │информационных технологических│ │ │ │ │ │ │ │ │ │ │процессов? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.10 │Осуществляется ли мониторинг │ │ │ │ │ │ │ 0,0833 │ │ │ │выполнения соглашений о │ │ │ │ │ │ │ │ │ │ │качестве услуг, │ │ │ │ │ │ │ │ │ │ │предоставляемых по договору │ │ │ │ │ │ │ │ │ │ │сторонними организациями (при │ │ │ │ │ │ │ │ │ │ │наличии таких услуг)? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M19.11 │Осуществляются ли в │ │ │ │ │ │ │ 0,0833 │ │ │ │организации процедуры по │ │ │ │ │ │ │ │ │ │ │управлению данными мониторинга│ │ │ │ │ │ │ │ │ │ │и контроля? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤ │ Итоговая оценка группового показателя M19 │ │ └──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M20 "Анализ

эффективности СМИБ, включая анализ уровней остаточного

и приемлемого рисков ИБ"

Групповой показатель M21 "Внутренний аудит СМИБ"

Групповой показатель M22 "Анализ СМИБ

со стороны высшего руководства"

Групповой показатель M23 "Внешний аудит СМИБ"

Групповой показатель M24

"Реализация тактических улучшений в СМИБ"

Групповой показатель M25

"Реализация стратегических улучшений СМИБ"

Групповой показатель M26 "Информирование об изменениях

СМИБ и их согласование с заинтересованными сторонами"

Групповой показатель M27

"Оценка достижения поставленных целей"

Групповой показатель M28 "Своевременность

обнаружения, прогноз развития проблем ИБ и оценка

их влияния на бизнес-цели организации"

Групповой показатель M29 "Определенность целей,

адекватность выбора защитных мер, их эффективность

и контролируемость"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.1 │Зафиксированы ли документально│ │ │ │ │ │ │ 0,0833 │ │ │ │цели и задачи обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.2 │Осуществляется ли при │ │ │ │ │ │ │ 0,0833 │ │ │ │необходимости или периодически│ │ │ │ │ │ │ │ │ │ │уточнение/пересмотр целей и │ │ │ │ │ │ │ │ │ │ │задач обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │организации при изменениях │ │ │ │ │ │ │ │ │ │ │целей и задач бизнеса │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.3 │Осуществляется ли при │ │ │ │ │ │ │ 0,0833 │ │ │ │необходимости или периодически│ │ │ │ │ │ │ │ │ │ │уточнение/пересмотр целей и │ │ │ │ │ │ │ │ │ │ │задач обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │организации при изменениях │ │ │ │ │ │ │ │ │ │ │процедур, технологий? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.4 │Осуществляется ли при │ │ │ │ │ │ │ 0,0833 │ │ │ │необходимости или периодически│ │ │ │ │ │ │ │ │ │ │уточнение/пересмотр целей и │ │ │ │ │ │ │ │ │ │ │задач обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │организации при изменении │ │ │ │ │ │ │ │ │ │ │угроз ИБ │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.5 │Выбираются ли защитные меры в │ │ │ │ │ │ │ 0,0833 │ │ │ │соответствии с моделями угроз │ │ │ │ │ │ │ │ │ │ │и нарушителей? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.6 │Выбираются ли защитные меры с │ │ │ │ │ │ │ 0,0833 │ │ │ │учетом оценки затрат на │ │ │ │ │ │ │ │ │ │ │реализацию защитных мер и │ │ │ │ │ │ │ │ │ │ │объема возможных потерь от │ │ │ │ │ │ │ │ │ │ │выполнения угроз? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.7 │Существует ли утвержденный │ │ │ │ │ │ │ 0,0667 │ │ │ │план реализации защитных мер, │ │ │ │ │ │ │ │ │ │ │включающий порядок │ │ │ │ │ │ │ │ │ │ │тестирования реализованных │ │ │ │ │ │ │ │ │ │ │защитных мер и порядок │ │ │ │ │ │ │ │ │ │ │оценивания достигнутого уровня│ │ │ │ │ │ │ │ │ │ │снижения рисков ИБ │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.8 │Оценивалось ли руководством │ │ │ │ │ │ │ 0,0667 │ │ │ │или службой ИБ организации │ │ │ │ │ │ │ │ │ │ │влияние защитных мер на цели │ │ │ │ │ │ │ │ │ │ │бизнеса организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.9 │Все ли защитные меры, │ │ │ │ │ │ │ 0,0667 │ │ │ │используемые в организации, │ │ │ │ │ │ │ │ │ │ │позволяют осуществлять │ │ │ │ │ │ │ │ │ │ │контроль правильности их │ │ │ │ │ │ │ │ │ │ │реализации и эксплуатации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.10 │Определен ли в организации │ │ │ │ │ │ │ 0,0667 │ │ │ │порядок периодического │ │ │ │ │ │ │ │ │ │ │тестирования комплекса │ │ │ │ │ │ │ │ │ │ │защитных мер? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.11 │Применяются ли в организации │ │ │ │ │ │ │ 0,0667 │ │ │ │механизмы, позволяющие │ │ │ │ │ │ │ │ │ │ │определять ущерб от инцидентов│ │ │ │ │ │ │ │ │ │ │ИБ? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.12 │Установлена ли в организации │ │ │ │ │ │ │ 0,0833 │ │ │ │ответственность по контролю │ │ │ │ │ │ │ │ │ │ │защитных мер и оценке │ │ │ │ │ │ │ │ │ │ │адекватности и эффективности │ │ │ │ │ │ │ │ │ │ │их реализации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M29.13 │Осуществляется ли в │ │ │ │ │ │ │ 0,0834 │ │ │ │организации контроль за │ │ │ │ │ │ │ │ │ │ │реализацией действующих │ │ │ │ │ │ │ │ │ │ │положений и требований по │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤ │ Итоговая оценка группового показателя M29 │ │ └──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M30

"Непрерывность обеспечения ИБ и использование опыта

при принятии и реализации решений"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐ │Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │ │ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │ │показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│ │ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.1 │Используется ли опыт │ │ │ │ │ │ │ 0,08 │ │ │ │организации, других │ │ │ │ │ │ │ │ │ │ │организаций при принятии │ │ │ │ │ │ │ │ │ │ │решений и их реализации │ │ │ │ │ │ │ │ │ │ │(например, опыт, накопленный │ │ │ │ │ │ │ │ │ │ │организацией и другими │ │ │ │ │ │ │ │ │ │ │организациями и отраженный в │ │ │ │ │ │ │ │ │ │ │нормативных актах)? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.2 │Есть ли в организации служба │ │ │ │ │ │ │ 0,08 │ │ │ │ИБ как отдельная │ │ │ │ │ │ │ │ │ │ │функциональная структура? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.3 │Существует ли отдельная статья│ │ │ │ │ │ │ 0,08 │ │ │ │бюджета организации для │ │ │ │ │ │ │ │ │ │ │финансирования обеспечения ИБ?│ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.4 │Имеет ли служба ИБ куратора в │ │ │ │ │ │ │ 0,08 │ │ │ │руководстве организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.5 │Назначены ли лица, │ │ │ │ │ │ │ 0,08 │ │ │ │ответственные за реализацию │ │ │ │ │ │ │ │ │ │ │политики ИБ организации и │ │ │ │ │ │ │ │ │ │ │поддержание ее в актуальном │ │ │ │ │ │ │ │ │ │ │состоянии? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.6 │Осуществляется ли анализ │ │ │ │ │ │ │ 0,056 │ │ │ │отсутствия разрывов в │ │ │ │ │ │ │ │ │ │ │технологических процессах │ │ │ │ │ │ │ │ │ │ │обеспечения ИБ организации, │ │ │ │ │ │ │ │ │ │ │представляющих собой, │ │ │ │ │ │ │ │ │ │ │например, нахождение │ │ │ │ │ │ │ │ │ │ │защищаемых активов вне │ │ │ │ │ │ │ │ │ │ │защищаемой оболочки, вне │ │ │ │ │ │ │ │ │ │ │защитных мер, а также │ │ │ │ │ │ │ │ │ │ │несогласованность защитных │ │ │ │ │ │ │ │ │ │ │мер? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.7 │Определены ли процедуры │ │ │ │ │ │ │ 0,08 │ │ │ │контроля за изменением │ │ │ │ │ │ │ │ │ │ │конфигурации АБС организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.8 │Анализируется ли влияние на ИБ│ │ │ │ │ │ │ 0,056 │ │ │ │организации изменений, │ │ │ │ │ │ │ │ │ │ │коснувшихся бизнес-процессов │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.9 │Анализируется ли влияние на ИБ│ │ │ │ │ │ │ 0,056 │ │ │ │организации изменений │ │ │ │ │ │ │ │ │ │ │технологий? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.10 │Анализируется ли влияние на ИБ│ │ │ │ │ │ │ 0,056 │ │ │ │организации изменений внешних │ │ │ │ │ │ │ │ │ │ │событий (изменения │ │ │ │ │ │ │ │ │ │ │законодательства, социального │ │ │ │ │ │ │ │ │ │ │климата)? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.11 │Предусматривает ли план │ │ │ │ │ │ │ 0,08 │ │ │ │действий в нештатных ситуациях│ │ │ │ │ │ │ │ │ │ │возможные последствия │ │ │ │ │ │ │ │ │ │ │нештатных ситуаций? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.12 │Предусматривает ли план │ │ │ │ │ │ │ 0,08 │ │ │ │обеспечения непрерывности │ │ │ │ │ │ │ │ │ │ │бизнеса организации возможные │ │ │ │ │ │ │ │ │ │ │способы возобновления бизнеса?│ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.13 │Определены ли документально │ │ │ │ │ │ │ 0,08 │ │ │ │процедуры, которые должны быть│ │ │ │ │ │ │ │ │ │ │реализованы в нештатных │ │ │ │ │ │ │ │ │ │ │ситуациях для каждого │ │ │ │ │ │ │ │ │ │ │сотрудника? │ │ │ │ │ │ │ │ │ ├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤ │ M30.14 │Регулярно ли проверяется │ │ │ │ │ │ │ 0,056 │ │ │ │руководством организации │ │ │ │ │ │ │ │ │ │ │отработка плана действий в │ │ │ │ │ │ │ │ │ │ │нештатных ситуациях и других │ │ │ │ │ │ │ │ │ │ │планов, связанных с │ │ │ │ │ │ │ │ │ │ │восстановлением и │ │ │ │ │ │ │ │ │ │ │непрерывностью бизнеса │ │ │ │ │ │ │ │ │ │ │организации с целью │ │ │ │ │ │ │ │ │ │ │обеспечения их актуальности и │ │ │ │ │ │ │ │ │ │ │эффективности? │ │ │ │ │ │ │ │ │ ├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤ │ Итоговая оценка группового показателя M30 │ │ └──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M31 "Знание своих клиентов

и служащих, персонификация и адекватное разделение ролей

и ответственности и адекватность ролей

функциям и процедурам"

Групповой показатель M32 "Доступность услуг и сервисов,

наблюдаемость и оцениваемость обеспечения ИБ"

Приложение Б

(обязательное)

Форма листов для сбора свидетельств аудита ИБ ┌──────────────┬─────────────────────────┬──────────────┬──────────────┬───────┐ │ Обозначение │Источники свидетельств и │ Кем │ Подпись │ Дата │ │ частного │ свидетельства аудита ИБ │предоставлены │ сотрудника/ │ │ │показателя ИБ │ (документы, результаты │свидетельства │ руководителя │ │ │ │ опроса или наблюдений) │ аудита ИБ │ │ │ ├──────────────┼─────────────────────────┼──────────────┼──────────────┼───────┤ │ │ │ │ │ │ ├──────────────┼─────────────────────────┼──────────────┼──────────────┼───────┤ │ │ │ │ │ │ ├──────────────┼─────────────────────────┼──────────────┼──────────────┼───────┤ │ │ │ │ │ │ ├──────────────┼─────────────────────────┼──────────────┼──────────────┼───────┤ │ │ │ │ │ │ ├──────────────┼─────────────────────────┼──────────────┼──────────────┼───────┤ │ │ │ │ │ │ └──────────────┴─────────────────────────┴──────────────┴──────────────┴───────┘ _________________________ (подпись) _________________________ (подпись) _________________________ (подпись)

Ключевые слова: банковская система Российской Федерации, информационная безопасность, методика оценки соответствия, показатели информационной безопасности, текущий уровень информационной безопасности, система менеджмента информационной безопасности, осознание информационной безопасности, требования информационной безопасности.