Стандарт Банка России Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-20xx СТО БР ИББС-1.2-2010

СТАНДАРТ БАНКА РОССИИ

СТО БР ИББС-1.2-2010

ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИЙ

БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ

МЕТОДИКА

ОЦЕНКИ СООТВЕТСТВИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ОРГАНИЗАЦИЙ

БАНКОВСКОЙ СИСТЕМЫ РОССИЙСКОЙ ФЕДЕРАЦИИ

ТРЕБОВАНИЯМ СТО БР ИББС-1.0-20xx

Дата введения: 2010-06-21

Предисловие

1. ПРИНЯТ И ВВЕДЕН в действие Распоряжением Банка России от 21 июня 2010 года N Р-705.

2. ВЗАМЕН СТО БР ИББС-1.2-2009.

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Банка России.

Введение

Стандартом Банка России СТО БР ИББС-1.0-20xx "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" с целью проверки уровня информационной безопасности (ИБ) как самого Банка России, так и организаций банковской системы (БС) Российской Федерации (РФ) определено требование проведения регулярной внешней и внутренней оценки ИБ, а также самооценки ИБ.

Настоящий стандарт устанавливает способы определения степени выполнения требований Стандарта Банка России СТО БР ИББС-1.0-20xx "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения", а также итогового уровня соответствия ИБ требованиям Стандарта Банка России СТО БР ИББС-1.0-20xx "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" при проведении внутренней и (или) внешней оценки и самооценки ИБ.

1. Область применения

Настоящая методика распространяется на организации БС РФ, а также на организации, проводящие оценку уровня обеспечения ИБ организации БС РФ в соответствии с требованиями Стандарта Банка России СТО БР ИББС-1.0-20xx "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" (далее - СТО БР ИББС-1.0).

Настоящий стандарт рекомендован для применения путем включения ссылок на него и (или) прямого использования устанавливаемых в нем положений во внутренних документах организации БС РФ, а также в договорных документах, устанавливающих отношения сторон при проведении внешних оценок ИБ.

Положения настоящего стандарта применяются на добровольной основе, если только в отношении конкретных положений обязательность не установлена действующим законодательством Российской Федерации, нормативными актами Банка России или условиями договоров.

2. Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на стандарт СТО БР ИББС-1.0.

3. Термины и определения

В настоящем документе применены термины в соответствии с СТО БР ИББС-1.0, стандартом Банка России СТО БР ИББС-1.1-2007 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности", а также следующие термины с соответствующими определениями.

3.1. Показатель информационной безопасности: Мера или характеристика для оценки информационной безопасности.

3.2. Проверяющая организация: Организация, проводящая оценку соответствия информационной безопасности организации БС РФ требованиям СТО БР ИББС-1.0.

3.3. Проверяемая организация: Организация БС РФ, информационная безопасность которой подвергается оценке на соответствие требованиям СТО БР ИББС-1.0.

4. Обозначения и сокращения

АБС - автоматизированная банковская система;

БС - банковская система;

ЖЦ - жизненный цикл;

ИБ - информационная безопасность;

ИСПДн - информационные системы персональных данных;

НСД - несанкционированный доступ;

НРД - нерегламентированные действия в рамках предоставленных полномочий;

РФ - Российская Федерация;

СКЗИ - средство криптографической защиты информации;

СМИБ - система менеджмента информационной безопасности;

СИБ - система информационной безопасности;

СОИБ - система обеспечения информационной безопасности;

ЭВМ - электронная вычислительная машина;

ЭЦП - электронная цифровая подпись;

- коэффициент значимости частного показателя;

EV1 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "текущий уровень ИБ организации";

EV2 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "менеджмент ИБ организации";

EV3 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "уровень осознания ИБ организации";

- оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих обработку персональных данных;

- оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в информационных системах персональных данных, без учета оценки степени выполнения требований СТО БР ИББС-1.0 по обеспечению информационной безопасности при использовании средств криптографической защиты информации;

- оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в информационных системах персональных данных, с учетом оценки степени выполнения требований СТО БР ИББС-1.0 по обеспечению информационной безопасности при использовании средств криптографической защиты информации;

- оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих банковский информационный технологический процесс;

- оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих банковский платежный технологический процесс;

- оценка степени выполнения требований СТО БР ИББС-1.0 для группового показателя;

- оценка степени выполнения требований СТО БР ИББС-1.0 для частного показателя;

i - номер группового показателя;

j - номер частного показателя;

Mij - обозначение частного показателя;

R - итоговый уровень соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0.

5. Общие положения

5.1. Целью настоящей методики является стандартизация подходов и способов оценки, используемых для определения уровня соответствия ИБ организации БС РФ (далее - организации) требованиям СТО БР ИББС-1.0 по направлениям оценки:

- текущий уровень ИБ организации;

- менеджмент ИБ организации;

- уровень осознания ИБ организации.

5.2. Задачами настоящей методики являются:

- определение состава показателей ИБ и способов их оценивания;

- определение способа оценивания текущего уровня ИБ организации с помощью установления степени выполнения требований, определенных в разделе 7 СТО БР ИББС-1.0;

- определение способа оценивания менеджмента ИБ организации и уровня осознания ИБ организации с помощью установления степени выполнения требований, определенных в разделе 8 СТО БР ИББС-1.0;

- определение итогового уровня соответствия ИБ организации требованиям СТО БР ИББС-1.0.

6. Показатели информационной безопасности. Способы

оценивания показателей

6.1. Для оценки степени соответствия ИБ организации требованиям СТО БР ИББС-1.0 используются групповые и частные показатели ИБ. Групповые показатели ИБ образуют структуру направлений оценки, детализируя оценки текущего уровня ИБ организации, менеджмента и уровня осознания ИБ. Оценки групповых показателей ( ) используются для получения оценки по направлениям (EV1, EV2 и EV3). Частные показатели ИБ входят в состав групповых показателей и представлены в виде вопросов, ответы на которые дают возможность определить оценки ( ), которые затем формируют оценки групповых показателей.

Приложение А содержит формы, предназначенные для заполнения при проведении оценки. Каждая из форм содержит групповой показатель ИБ, входящие в него частные показатели ИБ, метрику (шкалу) для оценивания частных показателей и коэффициенты значимости частных показателей ИБ, используемые при вычислении группового показателя.

6.2. Частные показатели разделены на две категории. Первую категорию составляют частные показатели, отражающие требования СТО БР ИББС-1.0, выполнение которых обязательно в организации. Вторую категорию составляют частные показатели, отражающие положения СТО БР ИББС-1.0, выполнение которых рекомендуется в организации. Информация о принадлежности частных показателей к указанным категориям определена в формах Приложения А.

6.3. Способ оценивания частного показателя зависит от его принадлежности к одной из категорий, определенных в п. 6.2 настоящей методики.

6.4. Оценка частного показателя формируется на основании выявленной аудиторской группой степени выполнения требований посредством экспертного оценивания.

Оценивание частного показателя должно сопровождаться внесением символа, например, "X", в соответствующую графу представленных в Приложении А форм.

6.5. Для частных показателей, выполнение которых обязательно, устанавливается следующая шкала степени их выполнения:

- "нет" - оценке присваивается значение, равное нулю;

- "частично" - оценке присваивается значение 0,25, 0,5 или 0,75;

- "да" - оценке присваивается значение, равное единице.

Если частный показатель предназначен для оценки требований, которые не относятся к деятельности организации или на момент оценки не являются актуальными для организации, что документально зафиксировано во внутренних документах организации, то данный частный показатель определяется как неоцениваемый (должна быть заполнена графа "н/о" - нет оценки) и не учитывается в формировании дальнейших результатов оценки. При этом необходимо выполнить процедуру нормировки коэффициентов значимости оставшихся частных показателей ИБ в рамках группового показателя.

6.6. Для частных показателей, выполнение которых рекомендуется, устанавливается следующая шкала степени их выполнения:

- "да" - оценке присваивается значение, равное единице;

- "нет" - частный показатель определяется как неоцениваемый (должна быть заполнена графа "н/о" - нет оценки) и не учитывается в формировании дальнейших результатов оценки. При этом необходимо выполнить процедуру нормировки коэффициентов значимости оставшихся частных показателей ИБ в рамках группового показателя.

6.7. При проведении оценки частных показателей, для которых оценивается как степень документированности, так и степень выполнения, рекомендуется использовать следующий общий подход:

Таблица 1. Рекомендуемые критерии выставления оценок частных показателей ИБ, в которых оценивается как степень документированности, так и степень выполнения требований ИБ

┌──────────┬──────────────────────────────────────────────────────────────┐ │ Оценка │ Критерий выставления оценки частного показателя ИБ │ │ частного │ │ │показателя│ │ │ ИБ │ │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 0 │Требования частного показателя ИБ не установлены во │ │ │внутренних нормативных документах проверяемой организации и │ │ │не выполняются │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 0 │Требования частного показателя ИБ частично установлены в │ │ │нормативных документах проверяемой организации, но не │ │ │выполняются │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 0,25 │Требования частного показателя ИБ полностью установлены в │ │ │нормативных документах проверяемой организации, но не │ │ │выполняются │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 0,25 │Требования частного показателя ИБ не установлены во внутренних│ │ │нормативных документах проверяемой организации и выполняются │ │ │в неполном объеме │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 0,25 │Требования частного показателя ИБ частично установлены во │ │ │внутренних нормативных документах проверяемой организации и │ │ │выполняются в неполном объеме │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 0,5 │Требования частного показателя ИБ полностью установлены во │ │ │внутренних нормативных документах проверяемой организации и │ │ │выполняются в неполном объеме │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 0,5 │Требования частного показателя ИБ не установлены во внутренних│ │ │нормативных документах проверяемой организации, но │ │ │выполняются в полном объеме │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 0,75 │Требования частного показателя ИБ частично установлены во │ │ │внутренних нормативных документах проверяемой организации, но │ │ │выполняются в полном объеме │ ├──────────┼──────────────────────────────────────────────────────────────┤ │ 1 │Требования частного показателя ИБ полностью установлены во │ │ │внутренних нормативных документах проверяемой организации и │ │ │выполняются в полном объеме │ └──────────┴──────────────────────────────────────────────────────────────┘

6.8. При проведении оценки частных показателей, для которых оценивается только степень документированности, рекомендуется использовать следующий общий подход:

Таблица 2. Рекомендуемые критерии выставления оценок частных показателей ИБ, в которых оценивается только степень документированности требований ИБ

6.9. При проведении оценки частных показателей, для которых оценивается только степень выполнения, рекомендуется использовать следующий общий подход:

Таблица 3. Рекомендуемые критерии выставления оценок частных показателей ИБ, в которых оценивается только степень выполнения требований ИБ

6.10. В случаях, если при проведении оценки частного показателя используется ограниченный набор объектов, входящих в область аудита ИБ (например, ограниченная выборка автоматизированных банковских систем), и по результатам оценивания частного показателя получены результаты, указывающие на полное выполнение или полное невыполнение/полную документированность или отсутствие документированности соответствующих требований ИБ, рекомендуется расширить набор указанных объектов (выборку) для подтверждения или коррекции полученных результатов.

6.11. Оценка частного показателя ИБ должна основываться на свидетельствах аудита, в качестве основных источников которых рекомендуется использовать:

- внутренние нормативные документы проверяемой организации и при необходимости документы третьих лиц, относящиеся к обеспечению ИБ организации;

- устные высказывания сотрудников проверяемой организации в процессе проводимых опросов;

- результаты наблюдений членов аудиторской группы за деятельностью сотрудников проверяемой организации в области ИБ.

В процессе проведения устного опроса сотрудников проверяемой организации и наблюдений за деятельностью указанных сотрудников члены аудиторской группы должны сделать вывод о степени соответствия оцениваемой деятельности требованиям внутренних нормативных документов проверяемой организации.

Полученные свидетельства аудита ИБ и источники их получения должны быть задокументированы путем составления листов для сбора свидетельств аудита ИБ, пример которых приведен в Приложении Б. При заполнении листов для сбора свидетельств аудита ИБ необходимо указать ссылки на соответствующие внутренние нормативные документы проверяемой организации, результаты опроса сотрудников проверяемой организации, а также результаты наблюдений членов аудиторской группы. Результаты опроса и наблюдений должны быть подтверждены подписью опрашиваемого сотрудника организации и члена аудиторской группы соответственно.

6.12. Оценка группового показателя ( ), за исключением группового показателя M9 "Общие требования по обработке персональных данных в организации БС РФ", вычисляется из оценок входящих в него частных показателей ( ) с учетом коэффициентов значимости , определяющих важность частного показателя для оценивания группового показателя:

При формировании коэффициентов значимости учитывалось следующее условие нормировки:

где k - число частных показателей в i-м групповом показателе.

Коэффициенты значимости для каждого частного показателя, за исключением частных показателей группового показателя M9 "Общие требования по обработке персональных данных в организации БС РФ", приведены в Приложении А.

6.13. Оценка группового показателя ( ) для группового показателя M9 "Общие требования по обработке персональных данных в организации БС РФ" определяется по наименьшему значению оценок входящих в него частных показателей. При этом для группового показателя M9 "Общие требования по обработке персональных данных в организации БС РФ" коэффициенты значимости не определены.

6.14. Если в рамках группового показателя все входящие в него частные показатели определены как неоцениваемые, указанный групповой показатель также определяется как неоцениваемый и не учитывается в формировании дальнейших результатов оценки. В этом случае групповой показатель не учитывается в формулах расчета для , , , , , EV2 или EV3 (см. разделы 7, 8, 9) с соответствующей корректировкой в формулах расчета количества оцениваемых групповых показателей. Оценки для таких групповых показателей не отображаются на круговой диаграмме (см. раздел 11).

7. Оценка текущего уровня информационной безопасности

организации банковской системы Российской Федерации

7.1. Оценка текущего уровня ИБ организации определяется с помощью групповых и частных показателей ИБ, позволяющих оценить степень выполнения требований ИБ СТО БР ИББС-1.0 для следующих областей:

- обеспечение ИБ при назначении и распределении ролей и обеспечении доверия к персоналу;

- обеспечение ИБ на стадиях жизненного цикла АБС;

- обеспечение ИБ при управлении доступом и регистрацией;

- обеспечение ИБ средствами антивирусной защиты;

- обеспечение ИБ при использовании ресурсов сети Интернет;

- обеспечение ИБ при использовании средств криптографической защиты информации;

- обеспечение ИБ банковских платежных технологических процессов;

- обеспечение ИБ банковских информационных технологических процессов;

- обработка персональных данных в организации БС РФ;

- обеспечение ИБ банковских технологических процессов, в рамках которых обрабатываются персональные данные.

7.2. Групповые показатели по направлению оценки "текущий уровень ИБ организации" отражают совокупность требований ИБ к областям, определенным в разделе 7 СТО БР ИББС-1.0. Таблица 4 отражает соответствие между структурными элементами СТО БР ИББС-1.0, содержащими требования ИБ, и групповыми показателями ИБ, предназначенными для проверки реализации данных требований.

Таблица 4. Соответствие групповых показателей ИБ совокупности требований ИБ к областям, определенным в разделе 7 СТО БР ИББС-1.0

┌───────────┬────────────────────────────────────────────────┬────────────┐ │Обозначение│ Наименование группового показателя ИБ │Структурный │ │группового │ │ элемент │ │показателя │ │ СТО БР │ │ ИБ │ │ ИББС-1.0 │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M1 │Обеспечение ИБ при назначении и распределении │ п. 7.2 │ │ │ролей и обеспечении доверия к персоналу │ │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M2 │Обеспечение ИБ на стадиях жизненного цикла АБС │ п. 7.3 │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M3 │Обеспечение ИБ при управлении доступом и │ п. 7.4 │ │ │регистрации │ │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M4 │Обеспечение ИБ средствами антивирусной защиты │ п. 7.5 │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M5 │Обеспечение ИБ при использовании ресурсов сети │ п. 7.6 │ │ │Интернет │ │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M6 │Обеспечение ИБ при использовании средств │ п. 7.7 │ │ │криптографической защиты информации │ │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M7 │Обеспечение ИБ банковских платежных │ п. 7.8 │ │ │технологических процессов │ │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M8 │Обеспечение ИБ банковских информационных │ п. 7.9 │ │ │технологических процессов │ │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M9 │Общие требования по обработке персональных │ п. 7.10 │ │ │данных в организации БС РФ │ │ ├───────────┼────────────────────────────────────────────────┼────────────┤ │ M10 │Общие требования по обеспечению информационной │ п. 7.11 │ │ │безопасности банковских технологических │ │ │ │процессов, в рамках которых обрабатываются │ │ │ │персональные данные │ │ └───────────┴────────────────────────────────────────────────┴────────────┘

7.3. Частные показатели по направлению оценки "текущий уровень ИБ организации" отражают отдельные требования ИБ СТО БР ИББС-1.0, предъявляемые по каждой из областей. Частные показатели по направлению оценки "текущий уровень ИБ организации" (показатели M1 M10), метрики, а также коэффициенты значимости приведены в Приложении А.

7.4. Оценивание частных показателей в рамках групповых показателей M1 M6 необходимо осуществлять раздельно по результатам анализа выполнения соответствующих требований СТО БР ИББС-1.0 по следующим направлениям:

- банковский платежный технологический процесс (M7);

- банковский информационный технологический процесс (M8);

- банковский технологический процесс, в рамках которого обрабатываются персональные данные (M10).

7.5. Оценки и , полученные в результате оценивания групповых показателей ИБ M1 M10, вносятся в соответствующие графы представленных в Приложении А форм.

7.6. Итоговая оценка EV1, отражающая степень выполнения требований СТО БР ИББС-1.0 по направлению "текущий уровень ИБ организации", определяется по наименьшему значению из следующих оценок:

- степень выполнения требований СТО БР ИББС-1.0, регламентирующих банковский информационный технологический процесс;

- степень выполнения требований СТО БР ИББС-1.0, регламентирующих банковский платежный технологический процесс;

- степень выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в информационных системах персональных данных, с учетом оценки степени выполнения требований СТО БР ИББС-1.0 по обеспечению информационной безопасности при использовании средств криптографической защиты информации;

- степень выполнения требований СТО БР ИББС-1.0, регламентирующих обработку персональных данных.

7.7. Оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих банковский платежный технологический процесс, вычисляется по формуле, в которой оценки групповых показателей M1 M6 выбираются по результатам их оценивания, применительно к банковскому платежному технологическому процессу:

Оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих банковский информационный технологический процесс, вычисляется по формуле, в которой оценки групповых показателей M1 M6 выбираются по результатам их оценивания, применительно к банковскому информационному технологическому процессу:

Оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в информационных системах персональных данных (ИСПДн), без учета оценки степени выполнения требований СТО БР ИББС-1.0 по обеспечению ИБ при использовании средств криптографической защиты информации (СКЗИ) вычисляется по формуле, в которой оценки групповых показателей M1 M5 выбираются по результатам их оценивания, применительно к банковскому технологическому процессу, в рамках которого обрабатываются персональные данные в ИСПДн:

Оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в ИСПДн, с учетом оценки степени выполнения требований СТО БР ИББС-1.0 по обеспечению ИБ при использовании СКЗИ вычисляется по формуле, в которой оценки групповых показателей M1 M6 выбираются по результатам их оценивания, применительно к банковскому технологическому процессу, в рамках которого обрабатываются персональные данные в ИСПДн:

Оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих обработку персональных данных, вычисляется по формуле:

7.8. Оценки , полученные в результате оценивания групповых показателей ИБ M1 M10, отображаются на круговой диаграмме (см. раздел 11) в секторах с 1-го по 10-й дугами, отстающими от центра круговой диаграммы на величину, соответствующую значению этих оценок.

7.9. Оценка EV1 отображается на круговой диаграмме (см. раздел 11) в секторах с 1-го по 10-й дугой, отстающей от центра круговой диаграммы на величину, соответствующую значению EV1.

8. Оценка менеджмента информационной безопасности

организации банковской системы Российской Федерации

8.1. Оценка менеджмента ИБ организации определяется с помощью групповых и частных показателей ИБ, позволяющих оценить степень выполнения требований ИБ СТО БР ИББС-1.0 для следующих областей:

- организация и функционирование службы ИБ организации;

- определение/коррекция области действия СОИБ;

- выбор/коррекция подхода к оценке рисков нарушения ИБ и проведение оценки рисков нарушения ИБ;

- разработка планов обработки рисков нарушения ИБ;

- разработка/коррекция внутренних документов, регламентирующих деятельность в области обеспечения ИБ;

- принятие руководством организации решений о реализации и эксплуатации СОИБ;

- организация реализации планов обработки рисков нарушения ИБ;

- разработка и организация реализации программ по обучению и повышению осведомленности в области ИБ;

- организация обнаружения и реагирования на инциденты безопасности;

- организация обеспечения непрерывности бизнеса и его восстановления после прерываний;

- мониторинг и контроль защитных мер;

- проведение самооценки ИБ;

- проведение внешнего аудита ИБ;

- анализ функционирования СОИБ;

- анализ СОИБ со стороны руководства организации;

- принятие решений по тактическим улучшениям СОИБ;

- принятие решений по стратегическим улучшениям СОИБ.

8.2. Групповые показатели по направлению оценки "менеджмент ИБ организации" отражают совокупность требований ИБ к областям, определенным в разделе 8 СТО БР ИББС-1.0. Таблица 5 отражает соответствие между структурными элементами СТО БР ИББС-1.0, содержащими требования ИБ, и групповыми показателями ИБ, предназначенными для проверки реализации данных требований.

Таблица 5. Соответствие групповых показателей ИБ требованиям к СМИБ, представленным в разделе 8 СТО БР ИББС-1.0

┌────────────┬──────────────────────────────────────────────┬─────────────┐ │Обозначение │ Наименование группового показателя ИБ │ Структурный │ │ группового │ │ элемент │ │ показателя │ │ СТО БР │ │ ИБ │ │ ИББС-1.0 │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M11 │Организация и функционирование службы ИБ │ п. 8.2 │ │ │организации │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M12 │Определение/коррекция области действия СОИБ │ п. 8.3 │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M13 │Выбор/коррекция подхода к оценке рисков │ п. 8.4 │ │ │нарушения ИБ и проведение оценки рисков │ │ │ │нарушения ИБ │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M14 │Разработка планов обработки рисков нарушения │ п. 8.5 │ │ │ИБ │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M15 │Разработка/коррекция внутренних документов, │ п. 8.6 │ │ │регламентирующих деятельность в области │ │ │ │обеспечения ИБ │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M16 │Принятие руководством организации решений о │ п. 8.7 │ │ │реализации и эксплуатации СОИБ │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M17 │Организация реализации планов внедрения СОИБ │ п. 8.8 │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M18 │Разработка и организация реализации программ │ п. 8.9 │ │ │по обучению и повышению осведомленности в │ │ │ │области ИБ │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M19 │Организация обнаружения и реагирования на │ п. 8.10 │ │ │инциденты безопасности │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M20 │Организация обеспечения непрерывности бизнеса │ п. 8.11 │ │ │и его восстановления после прерываний │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M21 │Мониторинг и контроль защитных мер │ п. 8.12 │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M22 │Проведение самооценки ИБ │ п. 8.13 │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M23 │Проведение аудита ИБ │ п. 8.14 │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M24 │Анализ функционирования СОИБ │ п. 8.15 │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M25 │Анализ СОИБ со стороны руководства организации│ п. 8.16 │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M26 │Принятие решений по тактическим улучшениям │ п. 8.17 │ │ │СОИБ │ │ ├────────────┼──────────────────────────────────────────────┼─────────────┤ │ M27 │Принятие решений по стратегическим улучшениям │ п. 8.18 │ │ │СОИБ │ │ └────────────┴──────────────────────────────────────────────┴─────────────┘

8.3. Частные показатели по направлению оценки "менеджмент ИБ организации" отражают отдельные требования ИБ СТО БР ИББС-1.0, предъявляемые по каждой из областей. Частные показатели по направлению оценки "менеджмент ИБ организации" (показатели M11 M27), метрики, а также коэффициенты значимости для каждого частного показателя приведены в Приложении А.

8.4. Оценки и , полученные в результате оценивания групповых показателей ИБ M11 M27, вносятся в соответствующие графы представленных в Приложении А форм.

8.5. Итоговая оценка EV2, отражающая степени выполнения требований СТО БР ИББС-1.0 по направлению "менеджмент ИБ организации", вычисляется по формуле:

8.6. Оценки , полученные в результате оценивания групповых показателей ИБ M11 M27, отображаются на круговой диаграмме (см. раздел 11) в секторах с 11-го по 27-й дугами, отстающими от центра круговой диаграммы на величину, соответствующую значению этих оценок.

8.7. Оценка EV2 отображается на круговой диаграмме (см. раздел 11) в секторах с 11-го по 27-й дугой, отстающей от центра круговой диаграммы на величину, соответствующую значению EV2.

9. Оценка уровня осознания информационной безопасности

организации банковской системы Российской Федерации

9.1. Оценка уровня осознания ИБ организации определяется с помощью групповых и частных показателей ИБ, позволяющих оценить степень выполнения требований ИБ СТО БР ИББС-1.0 для следующих областей:

- деятельность руководства организации по поддержке функционирования службы ИБ организации;

- деятельность руководства организации по принятию решений о реализации и эксплуатации СОИБ;

- деятельность руководства организации по поддержке планирования СОИБ;

- деятельность руководства организации по поддержке реализации СОИБ;

- деятельность руководства организации по поддержке проверки СОИБ;

- деятельность руководства организации по анализу СОИБ;

- деятельность руководства организации по поддержке совершенствования СОИБ.

9.2. Групповые показатели по направлению оценки "уровень осознания ИБ организации" отражают совокупность требований ИБ к областям, определенным в разделе 8 СТО БР ИББС-1.0. Таблица 6 отражает соответствие между структурными элементами СТО БР ИББС-1.0, содержащими требования ИБ, и групповыми показателями ИБ, предназначенными для проверки реализации данных требований.

Таблица 6. Соответствие групповых показателей ИБ требованиям, представленным в разделе 8 СТО БР ИББС-1.0

┌───────────┬─────────────────────────────────────────────┬───────────────┐ │Обозначение│ Наименование группового показателя ИБ │ Структурный │ │группового │ │элемент СТО БР │ │показателя │ │ ИББС-1.0 │ │ ИБ │ │ │ ├───────────┼─────────────────────────────────────────────┼───────────────┤ │ M28 │Оценка деятельности руководства организации │ п. 8.2 │ │ │по поддержке функционирования службы ИБ │ │ │ │организации │ │ ├───────────┼─────────────────────────────────────────────┼───────────────┤ │ M29 │Оценка деятельности руководства организации │ п. 8.7 │ │ │по принятию решений о реализации и │ │ │ │эксплуатации │ │ ├───────────┼─────────────────────────────────────────────┼───────────────┤ │ M30 │Оценка деятельности руководства организации │ пп. 8.3, 8.4, │ │ │по поддержке планирования СОИБ │ 8.5, 8.6, 8.8 │ ├───────────┼─────────────────────────────────────────────┼───────────────┤ │ M31 │Оценка деятельности руководства организации │пп. 8.9, 8.10, │ │ │по поддержке реализации СОИБ │ 8.11 │ ├───────────┼─────────────────────────────────────────────┼───────────────┤ │ M32 │Оценка деятельности руководства организации │ пп. 8.12, │ │ │по поддержке проверки СОИБ │ 8.13, 8.14, │ │ │ │ 8.15 │ ├───────────┼─────────────────────────────────────────────┼───────────────┤ │ M33 │Оценка деятельности руководства организации │ п. 8.16 │ │ │по анализу СОИБ │ │ ├───────────┼─────────────────────────────────────────────┼───────────────┤ │ M34 │Оценка деятельности руководства организации │пп. 8.17, 8.18 │ │ │по поддержке совершенствования СОИБ │ │ └───────────┴─────────────────────────────────────────────┴───────────────┘

9.3. Частные показатели по направлению оценки "уровень осознания ИБ организации" отражают отдельные требования СТО БР ИББС-1.0 к СМИБ организации, относящиеся к деятельности руководства организации. Частные показатели по направлению оценки "уровень осознания ИБ организации" (показатели M28 M34), метрики, а также коэффициенты значимости для каждого частного показателя приведены в Приложении А.

9.4. Оценки и , полученные в результате оценивания групповых показателей ИБ M28 M34, вносятся в соответствующие графы представленных в Приложении А форм.

9.5. Итоговая оценка EV3, отражающая степень выполнения требований СТО БР ИББС-1.0 по направлению "уровень осознания ИБ организации", вычисляется по формуле:

9.6. Оценки , полученные в результате оценивания групповых показателей ИБ M28 M34, отображаются на круговой диаграмме (см. раздел 11) в секторах с 28-го по 34-й дугами, отстающими от центра круговой диаграммы на величину, соответствующую значению этих оценок.

9.7. Оценка EV3 отображается на круговой диаграмме (см. раздел 11) в секторах с 28-го по 34-й дугой, отстающей от центра круговой диаграммы на величину, соответствующую значению EV3.

10. Особенности оценки степени выполнения требований

СТО БР ИББС-1.0, регламентирующих защиту персональных

данных в информационных системах персональных данных

10.1. Для оценки степени выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в ИСПДн, без учета оценки степени выполнения требований СТО БР ИББС-1.0 по обеспечению ИБ при использовании СКЗИ и формирования оценки следует использовать уточняющие вопросы, которые детализируют и конкретизируют частные показатели ИБ.

Уточняющие вопросы составлены на основе положений РС БР ИББС-2.3 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Требования по обеспечению безопасности персональных данных в информационных системах персональных данных организаций банковской системы Российской Федерации".

Перечень указанных уточняющих вопросов, а также их связь с частными показателями содержится в Приложении В (таблица 1 и таблица 2 соответственно).

Если в конкретной организации БС РФ отдельные требования РС БР ИББС-2.3 заменены иными требованиями, обеспечивающими эквивалентный (аналогичный) уровень безопасности персональных данных, то соответствующие изменения должны быть внесены в перечень уточняющих вопросов в Приложении В.

10.2. Для проведения оценки соответствия ИБ в части информационных систем персональных данных необходимо провести оценивание частных показателей настоящего стандарта, попадающих в область оценки, используя все соответствующие частным показателям детализирующие и конкретизирующие вопросы Приложения В. Для этого необходимо:

- на основании ссылок на частный показатель, приведенных в Приложении В, и в соответствии с классом информационной системы персональных данных составить перечень вопросов, соответствующих оцениваемому частному показателю (или воспользоваться таблицей соответствия частных показателей и вопросов, приведенной в Приложении В);

- провести оценивание вопросов Приложения В из перечня вопросов, соответствующих оцениваемому частному показателю;

- провести оценивание частного показателя настоящего стандарта, используя в том числе оценки для вопросов Приложения В.

10.3. Оценка вопросов Приложения В формируется на основании выявленной степени выполнения проверяемого требования посредством экспертного оценивания. Устанавливается следующая шкала степени выполнения проверяемых требований:

- "Выполняется в полном объеме";

- "Выполняется не в полном объеме";

- "Не выполняется".

Оценка вопросов Приложения В должна основываться на свидетельствах аудита ИБ, приведенных в п. 6.11 настоящего стандарта.

10.4. Оценивание частных показателей следует проводить в соответствии с рекомендуемыми критериями выставления оценок частных показателей информационной безопасности, определенными в п. 6.7 настоящего стандарта.

Оценивание всех вопросов из составленного перечня вопросов Приложения В является необходимым для оценивания частного показателя.

При проведении оценивания частных показателей следует использовать следующий общий подход:

Таблица 7. Рекомендуемые критерии выставления оценок частных показателей ИБ на основе оценки вопросов Приложения В

┌─────────────┬───────────────────────────────────────────────────────────┐ │Максимальная │ Критерий выставления оценки частного показателя ИБ │ │ оценка │ │ │ частного │ │ │показателя ИБ│ │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 0 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, не установлены во │ │ │внутренних нормативных документах проверяемой организации │ │ │и не выполняются │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 0 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, частично установлены во │ │ │внутренних нормативных документах проверяемой организации, │ │ │но не выполняются │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 0,25 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, полностью установлены во │ │ │внутренних нормативных документах проверяемой организации, │ │ │но не выполняются │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 0,25 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, не установлены во │ │ │внутренних нормативных документах проверяемой организации │ │ │и выполняются в неполном объеме │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 0,25 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, частично установлены во │ │ │внутренних нормативных документах проверяемой организации │ │ │и выполняются в неполном объеме │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 0,5 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, полностью установлены во │ │ │внутренних нормативных документах проверяемой организации │ │ │и выполняются в неполном объеме │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 0,5 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, не установлены во │ │ │внутренних нормативных документах проверяемой организации, │ │ │но выполняются в полном объеме │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 0,75 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, частично установлены во │ │ │внутренних нормативных документах проверяемой организации, │ │ │но выполняются в полном объеме │ ├─────────────┼───────────────────────────────────────────────────────────┤ │ 1 │Требования всех вопросов Приложения В, соответствующих │ │ │оцениваемому частному показателю, полностью установлены во │ │ │внутренних нормативных документах проверяемой организации │ │ │и выполняются в полном объеме │ └─────────────┴───────────────────────────────────────────────────────────┘

В ряде случаев оценивание всех вопросов из составленного перечня Приложения В может оказаться недостаточным для оценивания частного показателя. В этом случае оценка частного показателя должна проводиться в соответствии с требованиями раздела 6 настоящего стандарта.

Результаты оценивания вопросов Приложения В должны быть документально оформлены путем составления соответствующих листов для сбора свидетельств аудита ИБ, пример которых приведен в Приложении Б. При заполнении листов для сбора свидетельств аудита ИБ необходимо указать ссылки на соответствующие вопросы Приложения В и документы, содержащие свидетельства выполнения оцениваемой деятельности, привести результаты опроса сотрудников проверяемой организации, а также результаты наблюдений членов аудиторской группы. Результаты опроса и наблюдений должны быть подтверждены подписью опрашиваемого сотрудника или члена аудиторской группы соответственно.

10.5. Все вопросы Приложения В должны быть оценены. Однако перед оцениванием этих вопросов следует провести анализ актуальности соответствующих им требований для деятельности проверяемой организации. Неактуальным вопрос может быть признан только в том случае, если соответствующее ему требование не относится к деятельности организации или на момент оценки не является актуальным для организации, что документально зафиксировано во внутренних документах организации. В этом случае вопрос определяется как не оцениваемый (выставляется оценка "1") и не учитывается в дальнейшем формировании оценок частных показателей. Решение о признании вопроса Приложения В как не оцениваемого должно приниматься ответственным за процесс оценки из числа представителей проверяемой организации и оформляться документально.

11. Определение уровня соответствия

информационной безопасности организации банковской системы

Российской Федерации требованиям СТО БР ИББС-1.0.

Отображение оценок

11.1. Если оценка EV1, EV2 или EV3 лежит в интервале от 0 до 0,25, то данному направлению оценки присваивается нулевой уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,25 до 0,5, то данному направлению оценки присваивается первый уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,5 до 0,7, то данному направлению оценки присваивается второй уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,7 до 0,85, то данному направлению оценки присваивается третий уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,85 до 0,95, то данному направлению оценки присваивается четвертый уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

Если оценка EV1, EV2 или EV3 лежит в интервале от 0,95 до 1 включительно, то данному направлению оценки присваивается пятый уровень соответствия ИБ требованиям СТО БР ИББС-1.0.

11.2. Значение R определяется по наименьшему значению из трех оценок по направлениям оценки:

- оценки уровня осознания ИБ организации (EV3);

- оценки менеджмента ИБ организации (EV2);

- оценки текущего уровня ИБ организации (EV1).

11.3. Полученное в результате оценки соответствия ИБ организации требованиям СТО БР ИББС-1.0 значение R является основой для формирования аудиторского заключения по результатам аудита ИБ.

11.4. Значения R, соответствующие четвертому и пятому уровням, являются рекомендуемыми Банком России.

Значения R, соответствующие уровням с нулевого по третий, не являются рекомендуемыми Банком России.

11.5. Рисунок 1 представляет собой круговую диаграмму для отображения результатов оценивания.

Секторы с 1-го по 10-й используются для отображения оценки текущего уровня ИБ организации.

Секторы с 11-го по 27-й используются для отображения оценки процессов менеджмента ИБ организации.

Секторы с 28-го по 34-й используются для отображения оценки уровня осознания ИБ организации.

Пятому уровню соответствуют окружность радиусом 0,95 и кольцо до окружности радиусом 1.

Четвертому уровню соответствуют окружность радиусом 0,85 и кольцо до окружности радиусом 0,95.

Третьему уровню соответствуют окружность радиусом 0,7 и кольцо до окружности радиусом 0,85.

Второму уровню соответствуют окружность радиусом 0,5 и кольцо до окружности радиусом 0,7.

Первому уровню соответствуют окружность радиусом 0,25 и кольцо до окружности радиусом 0,5.

Нулевому уровню соответствует круг до окружности радиусом 0,25.

11.6. По результатам проведения оценки соответствия формируется документ - "Подтверждение соответствия организации БС РФ стандарту Банка России СТО БР ИББС-1.0-20xx".

"Подтверждение соответствия организации БС РФ стандарту Банка России СТО БР ИББС-1.0-20xx" формируется на основе:

- аудиторского заключения в случае проведения оценки соответствия внешней организацией;

- отчета самооценки в случае проведения оценки соответствия силами организации БС РФ.

В "Подтверждение соответствия организации БС РФ стандарту Банка России СТО БР ИББС-1.0-20xx" как минимум следует включать следующие оценки:

- оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих обработку персональных данных;

- оценка группового показателя M6 "Обеспечение информационной безопасности при использовании средств криптографической защиты информации" применительно к банковскому технологическому процессу, в рамках которого обрабатываются персональные данные (оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в информационных системах персональных данных при использовании средств криптографической защиты информации);

R - итоговый уровень соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0.

С целью направления "Подтверждения соответствия организации БС РФ стандарту Банка России СТО БР ИББС-1.0-20xx" регуляторам, осуществляющим надзор за выполнением законодательства в области персональных данных, данный документ следует составлять в пяти экземплярах, один из которых предназначен для использования в организации БС РФ.

Рисунок 1. Круговая диаграмма для отображения результатов оценивания

Приложение А

(обязательное)

ПОКАЗАТЕЛИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Групповой показатель M1 "Обеспечение

информационной безопасности при назначении и распределении

ролей и обеспечении доверия к персоналу"

Групповой показатель M2 "Обеспечение

информационной безопасности автоматизированных банковских

систем на стадиях жизненного цикла"

┌────────────┬──────────────────────────────────────┬───────────────┬──────────────────────────┬────────────┬────────────┐ │Обозначение │ Частный показатель ИБ │Обязательность │ Оценка частного │Коэффициент │Вычисленное │ │ частного │ │ выполнения │ показателя ИБ │ значимости │ значение │ │ показателя │ │ ├──┬────┬────┬────┬───┬────┤ частного │ показателя │ │ ИБ │ │ │0 │0,25│0,5 │0,75│ 1 │н/о │ показателя │ ИБ │ │ │ │ │ │ │ │ │ │ │ ИБ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.1 │Рассматриваются ли при формировании │ рекомендуемый │//│////│////│////│ │ │ 0,0504 │ │ │ │требований ИБ следующие стадии модели │ │//│////│////│////│ │ │ │ │ │ │ЖЦ АБС: │ │//│////│////│////│ │ │ │ │ │ │- разработка технических заданий; │ │//│////│////│////│ │ │ │ │ │ │- проектирование; │ │//│////│////│////│ │ │ │ │ │ │- создание и тестирование; │ │//│////│////│////│ │ │ │ │ │ │- приемка и ввод в действие; │ │//│////│////│////│ │ │ │ │ │ │- эксплуатация; │ │//│////│////│////│ │ │ │ │ │ │- сопровождение и модернизация; │ │//│////│////│////│ │ │ │ │ │ │- снятие с эксплуатации? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.2 │Осуществляются ли разработка │ обязательный │ │ │ │ │ │ │ 0,0616 │ │ │ │технических заданий и приемка АБС по │ │ │ │ │ │ │ │ │ │ │ │согласованию и при участии │ │ │ │ │ │ │ │ │ │ │ │подразделения (лиц) в организации, │ │ │ │ │ │ │ │ │ │ │ │ответственного за обеспечение ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.3 │Осуществляются ли ввод в действие, │ обязательный │ │ │ │ │ │ │ 0,0591 │ │ │ │эксплуатация и сопровождение │ │ │ │ │ │ │ │ │ │ │ │(модернизация), снятие с эксплуатации │ │ │ │ │ │ │ │ │ │ │ │АБС под контролем подразделений (лиц) │ │ │ │ │ │ │ │ │ │ │ │в организации, ответственных за │ │ │ │ │ │ │ │ │ │ │ │обеспечение ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.4 │Имеют ли соответствующие лицензии │ обязательный │ │ │ │ │ │ │ 0,0563 │ │ │ │организации, которые привлекаются на │ │ │ │ │ │ │ │ │ │ │ │договорной основе для разработки и │ │ │ │ │ │ │ │ │ │ │ │(или) производства средств и систем │ │ │ │ │ │ │ │ │ │ │ │защиты АБС? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.5 │Снабжены ли разрабатываемые АБС и │ обязательный │ │ │ │ │ │ │ 0,0646 │ │ │ │(или) их компоненты документацией, │ │ │ │ │ │ │ │ │ │ │ │содержащей описание реализованных │ │ │ │ │ │ │ │ │ │ │ │защитных мер, в том числе в отношении │ │ │ │ │ │ │ │ │ │ │ │угроз ИБ (источников угроз), описанных│ │ │ │ │ │ │ │ │ │ │ │в модели угроз организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.6 │Снабжены ли приобретаемые организацией│ рекомендуемый │//│////│////│////│ │ │ 0,0604 │ │ │ │АБС и (или) их компоненты │ │//│////│////│////│ │ │ │ │ │ │документацией, содержащей описание │ │//│////│////│////│ │ │ │ │ │ │реализованных защитных мер, в том │ │//│////│////│////│ │ │ │ │ │ │числе в отношении угроз ИБ (источников│ │//│////│////│////│ │ │ │ │ │ │угроз), описанных в модели угроз │ │//│////│////│////│ │ │ │ │ │ │организации? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.7 │Содержит ли документация на │ обязательный │ │ │ │ │ │ │ 0,0450 │ │ │ │разрабатываемые АБС или приобретаемые │ │ │ │ │ │ │ │ │ │ │ │готовые АБС и их компоненты описание │ │ │ │ │ │ │ │ │ │ │ │реализованных защитных мер, │ │ │ │ │ │ │ │ │ │ │ │предпринятых разработчиком │ │ │ │ │ │ │ │ │ │ │ │относительно безопасности разработки и│ │ │ │ │ │ │ │ │ │ │ │безопасности поставки? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.8 │Реализуется ли при взаимодействии │ обязательный │ │ │ │ │ │ │ 0,0604 │ │ │ │организации с разработчиком АБС и их │ │ │ │ │ │ │ │ │ │ │ │компонентов одна из трех альтернатив: │ │ │ │ │ │ │ │ │ │ │ │1) в договор (контракт) о разработке │ │ │ │ │ │ │ │ │ │ │ │АБС или поставке готовых АБС и их │ │ │ │ │ │ │ │ │ │ │ │компонентов включаются положения по │ │ │ │ │ │ │ │ │ │ │ │сопровождению поставляемых изделий на │ │ │ │ │ │ │ │ │ │ │ │весь срок их службы; │ │ │ │ │ │ │ │ │ │ │ │2) организация приобретает полный │ │ │ │ │ │ │ │ │ │ │ │комплект рабочей конструкторской │ │ │ │ │ │ │ │ │ │ │ │документации, обеспечивающий │ │ │ │ │ │ │ │ │ │ │ │возможность сопровождения АБС и их │ │ │ │ │ │ │ │ │ │ │ │компонентов без участия разработчика; │ │ │ │ │ │ │ │ │ │ │ │3) руководство организации оценивает и│ │ │ │ │ │ │ │ │ │ │ │документально оформляет допустимость │ │ │ │ │ │ │ │ │ │ │ │риска нарушения ИБ, возникающего при │ │ │ │ │ │ │ │ │ │ │ │невозможности сопровождения АБС и их │ │ │ │ │ │ │ │ │ │ │ │компонентов? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.9 │Учитывается ли при разработке │ обязательный │ │ │ │ │ │ │ 0,0596 │ │ │ │технических заданий на системы │ │ │ │ │ │ │ │ │ │ │ │дистанционного банковского │ │ │ │ │ │ │ │ │ │ │ │обслуживания, что защита данных должна│ │ │ │ │ │ │ │ │ │ │ │обеспечиваться в условиях: │ │ │ │ │ │ │ │ │ │ │ │- попыток доступа к банковской │ │ │ │ │ │ │ │ │ │ │ │информации анонимных, неавторизованных│ │ │ │ │ │ │ │ │ │ │ │злоумышленников при использовании │ │ │ │ │ │ │ │ │ │ │ │сетей общего пользования; │ │ │ │ │ │ │ │ │ │ │ │- возможности ошибок авторизованных │ │ │ │ │ │ │ │ │ │ │ │пользователей систем; │ │ │ │ │ │ │ │ │ │ │ │- возможности ненамеренного или │ │ │ │ │ │ │ │ │ │ │ │неадекватного использования │ │ │ │ │ │ │ │ │ │ │ │конфиденциальных данных │ │ │ │ │ │ │ │ │ │ │ │авторизованными пользователями? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.10 │Обеспечиваются ли на стадии │ обязательный │ │ │ │ │ │ │ 0,0474 │ │ │ │тестирования анонимность данных и │ │ │ │ │ │ │ │ │ │ │ │проверка адекватности разграничения │ │ │ │ │ │ │ │ │ │ │ │доступа? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.11 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0700 │ │ │ │и выполняются ли на стадии │ │ │ │ │ │ │ │ │ │ │ │эксплуатации АБС процедуры контроля │ │ │ │ │ │ │ │ │ │ │ │работоспособности (функционирования, │ │ │ │ │ │ │ │ │ │ │ │эффективности) реализованных в АБС │ │ │ │ │ │ │ │ │ │ │ │защитных мер? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.12 │Предусматривают ли указанные в частном│ обязательный │ │ │ │ │ │ │ 0,0626 │ │ │ │показателе M2.11 процедуры │ │ │ │ │ │ │ │ │ │ │ │документальную фиксацию результатов │ │ │ │ │ │ │ │ │ │ │ │контроля? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.13 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0596 │ │ │ │и выполняются ли на стадии │ │ │ │ │ │ │ │ │ │ │ │сопровождения (модернизации) АБС │ │ │ │ │ │ │ │ │ │ │ │процедуры контроля, обеспечивающие │ │ │ │ │ │ │ │ │ │ │ │защиту от: │ │ │ │ │ │ │ │ │ │ │ │- умышленного несанкционированного │ │ │ │ │ │ │ │ │ │ │ │раскрытия, модификации или уничтожения│ │ │ │ │ │ │ │ │ │ │ │информации; │ │ │ │ │ │ │ │ │ │ │ │- неумышленной модификации, раскрытия │ │ │ │ │ │ │ │ │ │ │ │или уничтожения информации; │ │ │ │ │ │ │ │ │ │ │ │- отказа в обслуживании или ухудшения │ │ │ │ │ │ │ │ │ │ │ │обслуживания? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.14 │Предусматривают ли указанные в частном│ обязательный │ │ │ │ │ │ │ 0,0533 │ │ │ │показателе M2.13 процедуры │ │ │ │ │ │ │ │ │ │ │ │документальную фиксацию результатов │ │ │ │ │ │ │ │ │ │ │ │контроля? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.15 │Проводятся ли на стадии сопровождения │ обязательный │ │ │ │ │ │ │ 0,0646 │ │ │ │(модернизации) при любом внесении │ │ │ │ │ │ │ │ │ │ │ │изменений в АБС процедуры проверки │ │ │ │ │ │ │ │ │ │ │ │функциональности, результаты которых │ │ │ │ │ │ │ │ │ │ │ │документируются? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.16 │Определены ли документально и │ обязательный │ │ │ │ │ │ │ 0,0675 │ │ │ │выполняются ли на стадии снятия с │ │ │ │ │ │ │ │ │ │ │ │эксплуатации процедуры, обеспечивающие│ │ │ │ │ │ │ │ │ │ │ │удаление информации, │ │ │ │ │ │ │ │ │ │ │ │несанкционированное использование │ │ │ │ │ │ │ │ │ │ │ │которой может нанести ущерб бизнес- │ │ │ │ │ │ │ │ │ │ │ │деятельности организации, и │ │ │ │ │ │ │ │ │ │ │ │информации, используемой средствами │ │ │ │ │ │ │ │ │ │ │ │обеспечения ИБ, из постоянной памяти │ │ │ │ │ │ │ │ │ │ │ │АБС и с внешних носителей (за │ │ │ │ │ │ │ │ │ │ │ │исключением архивов электронных │ │ │ │ │ │ │ │ │ │ │ │документов и протоколов электронного │ │ │ │ │ │ │ │ │ │ │ │взаимодействия, ведение и сохранность │ │ │ │ │ │ │ │ │ │ │ │которых в течение определенного срока │ │ │ │ │ │ │ │ │ │ │ │предусмотрены соответствующими │ │ │ │ │ │ │ │ │ │ │ │нормативными и (или) договорными │ │ │ │ │ │ │ │ │ │ │ │документами)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M2.17 │Предусматривают ли указанные в частном│ обязательный │ │ │ │ │ │ │ 0,0576 │ │ │ │показателе M2.16 процедуры │ │ │ │ │ │ │ │ │ │ │ │документальную фиксацию результатов их│ │ │ │ │ │ │ │ │ │ │ │выполнения? │ │ │ │ │ │ │ │ │ │ ├────────────┴──────────────────────────────────────┴───────────────┴──┴────┴────┴────┴───┴────┴────────────┼────────────┤ │Итоговая оценка группового показателя M2 │ │ └───────────────────────────────────────────────────────────────────────────────────────────────────────────┴────────────┘

Групповой показатель M3 "Обеспечение информационной

безопасности при управлении доступом и регистрации"

┌────────────┬──────────────────────────────────────┬───────────────┬──────────────────────────┬────────────┬────────────┐ │Обозначение │ Частный показатель ИБ │Обязательность │ Оценка частного │Коэффициент │Вычисленное │ │ частного │ │ выполнения │ показателя ИБ │ значимости │ значение │ │ показателя │ │ ├──┬────┬────┬────┬───┬────┤ частного │ показателя │ │ ИБ │ │ │0 │0,25│0,5 │0,75│ 1 │н/о │ показателя │ ИБ │ │ │ │ │ │ │ │ │ │ │ ИБ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.1 │Определен ли в документах организации │ обязательный │ │ │ │ │ │ │ 0,0356 │ │ │ │перечень информационных активов (их │ │ │ │ │ │ │ │ │ │ │ │типов)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.2 │Зафиксированы ли документально права │ обязательный │ │ │ │ │ │ │ 0,0360 │ │ │ │доступа работников и клиентов к │ │ │ │ │ │ │ │ │ │ │ │информационным активам организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.3 │Применяются ли в составе АБС │ обязательный │ │ │ │ │ │ │ 0,0345 │ │ │ │встроенные защитные меры? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.4 │Применяются ли в составе АБС │ рекомендуемый │//│////│////│////│ │ │ 0,0334 │ │ │ │сертифицированные или разрешенные к │ │//│////│////│////│ │ │ │ │ │ │применению руководством организации │ │//│////│////│////│ │ │ │ │ │ │средства защиты информации от НСД и │ │//│////│////│////│ │ │ │ │ │ │НРД? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.5 │Определены ли в документах │ обязательный │ │ │ │ │ │ │ 0,0366 │ │ │ │организации, утверждены ли │ │ │ │ │ │ │ │ │ │ │ │руководством организации, выполняются │ │ │ │ │ │ │ │ │ │ │ │ли и контролируются ли процедуры │ │ │ │ │ │ │ │ │ │ │ │идентификации, аутентификации и │ │ │ │ │ │ │ │ │ │ │ │авторизации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.6 │Документируются ли результаты контроля│ обязательный │ │ │ │ │ │ │ 0,0345 │ │ │ │процедур, указанных в частном │ │ │ │ │ │ │ │ │ │ │ │показателе M3.5? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.7 │Определены ли в документах │ обязательный │ │ │ │ │ │ │ 0,0360 │ │ │ │организации, выполняются ли и │ │ │ │ │ │ │ │ │ │ │ │контролируются ли процедуры управления│ │ │ │ │ │ │ │ │ │ │ │доступом? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.8 │Документируются ли результаты контроля│ обязательный │ │ │ │ │ │ │ 0,0334 │ │ │ │процедур, указанных в частном │ │ │ │ │ │ │ │ │ │ │ │показателе M3.7? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.9 │Определены ли в документах │ обязательный │ │ │ │ │ │ │ 0,0340 │ │ │ │организации, выполняются ли и │ │ │ │ │ │ │ │ │ │ │ │контролируются ли процедуры контроля │ │ │ │ │ │ │ │ │ │ │ │целостности? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.10 │Документируются ли результаты контроля│ обязательный │ │ │ │ │ │ │ 0,0319 │ │ │ │процедур, указанных в частном │ │ │ │ │ │ │ │ │ │ │ │показателе M3.9? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.11 │Определены ли в документах │ обязательный │ │ │ │ │ │ │ 0,0319 │ │ │ │организации, выполняются ли и │ │ │ │ │ │ │ │ │ │ │ │контролируются ли процедуры │ │ │ │ │ │ │ │ │ │ │ │регистрации событий и действий? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.12 │Документируются ли результаты контроля│ обязательный │ │ │ │ │ │ │ 0,0286 │ │ │ │процедур, указанных в частном │ │ │ │ │ │ │ │ │ │ │ │показателе M3.11? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.13 │Исключают ли процедуры управления │ обязательный │ │ │ │ │ │ │ 0,0308 │ │ │ │доступом возможность │ │ │ │ │ │ │ │ │ │ │ │"самосанкционирования"? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.14 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0331 │ │ │ │процедуры мониторинга и анализа данных│ │ │ │ │ │ │ │ │ │ │ │регистрации, действий и операций, │ │ │ │ │ │ │ │ │ │ │ │позволяющие выявить неправомерные или │ │ │ │ │ │ │ │ │ │ │ │подозрительные операции и транзакции? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.15 │Используются ли специализированные │ рекомендуемый │//│////│////│////│ │ │ 0,0255 │ │ │ │программные и (или) технические │ │//│////│////│////│ │ │ │ │ │ │средства для проведения процедур │ │//│////│////│////│ │ │ │ │ │ │мониторинга и анализа данных │ │//│////│////│////│ │ │ │ │ │ │регистрации, действия и операций? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.16 │Используют ли процедуры мониторинга и │ обязательный │ │ │ │ │ │ │ 0,0266 │ │ │ │анализа документально определенные │ │ │ │ │ │ │ │ │ │ │ │критерии выявления неправомерных или │ │ │ │ │ │ │ │ │ │ │ │подозрительных действий и операций? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.17 │Применяются ли процедуры мониторинга и│ обязательный │ │ │ │ │ │ │ 0,0286 │ │ │ │анализа на регулярной основе │ │ │ │ │ │ │ │ │ │ │ │(например, ежедневно) ко всем │ │ │ │ │ │ │ │ │ │ │ │выполненным операциям и транзакциям? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.18 │Регламентирован ли во внутренних │ обязательный │ │ │ │ │ │ │ 0,0292 │ │ │ │документах организации порядок доступа│ │ │ │ │ │ │ │ │ │ │ │работников организации в помещения, в │ │ │ │ │ │ │ │ │ │ │ │которых размещаются объекты среды │ │ │ │ │ │ │ │ │ │ │ │информационных активов? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.19 │Контролируется ли выполнение порядка │ обязательный │ │ │ │ │ │ │ 0,0297 │ │ │ │доступа работников организации в │ │ │ │ │ │ │ │ │ │ │ │помещения, в которых размещаются │ │ │ │ │ │ │ │ │ │ │ │объекты среды информационных активов? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.20 │Оформляются ли документально │ обязательный │ │ │ │ │ │ │ 0,0263 │ │ │ │результаты выполнения контроля порядка│ │ │ │ │ │ │ │ │ │ │ │доступа работников организации в │ │ │ │ │ │ │ │ │ │ │ │помещения, в которых размещаются │ │ │ │ │ │ │ │ │ │ │ │объекты среды информационных активов? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.21 │Обеспечивают ли используемые в │ обязательный │ │ │ │ │ │ │ 0,0328 │ │ │ │организации АБС, в том числе системы │ │ │ │ │ │ │ │ │ │ │ │дистанционного банковского │ │ │ │ │ │ │ │ │ │ │ │обслуживания, возможность регистрации:│ │ │ │ │ │ │ │ │ │ │ │- операций с данными о клиентских │ │ │ │ │ │ │ │ │ │ │ │счетах, включая операции открытия, │ │ │ │ │ │ │ │ │ │ │ │модификации и закрытия клиентских │ │ │ │ │ │ │ │ │ │ │ │счетов; │ │ │ │ │ │ │ │ │ │ │ │- проводимых транзакций, имеющих │ │ │ │ │ │ │ │ │ │ │ │финансовые последствия; │ │ │ │ │ │ │ │ │ │ │ │- операций, связанных с назначением и │ │ │ │ │ │ │ │ │ │ │ │распределением прав пользователей? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.22 │Реализованы ли в системах │ обязательный │ │ │ │ │ │ │ 0,0344 │ │ │ │дистанционного банковского │ │ │ │ │ │ │ │ │ │ │ │обслуживания, используемых в │ │ │ │ │ │ │ │ │ │ │ │организации, защитные меры, │ │ │ │ │ │ │ │ │ │ │ │обеспечивающие невозможность отказа от│ │ │ │ │ │ │ │ │ │ │ │авторства проводимых клиентами │ │ │ │ │ │ │ │ │ │ │ │операций и транзакций (например, ЭЦП)?│ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.23 │Придано ли протоколам операций, │ рекомендуемый │//│////│////│////│ │ │ 0,0312 │ │ │ │выполняемых посредством дистанционного│ │//│////│////│////│ │ │ │ │ │ │банковского обслуживания, свойство │ │//│////│////│////│ │ │ │ │ │ │юридической значимости, например, │ │//│////│////│////│ │ │ │ │ │ │путем внесения соответствующих │ │//│////│////│////│ │ │ │ │ │ │положений в договоры на дистанционное │ │//│////│////│////│ │ │ │ │ │ │банковское обслуживание? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.24 │Производится ли при заключении │ рекомендуемый │//│////│////│////│ │ │ 0,0274 │ │ │ │договоров со сторонними организациями │ │//│////│////│////│ │ │ │ │ │ │юридическое оформление │ │//│////│////│////│ │ │ │ │ │ │договоренностей, определяющих │ │//│////│////│////│ │ │ │ │ │ │необходимый уровень взаимодействия в │ │//│////│////│////│ │ │ │ │ │ │случае выхода инцидента ИБ за рамки │ │//│////│////│////│ │ │ │ │ │ │отдельной организации? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.25 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0294 │ │ │ │процедуры, определяющие действия │ │ │ │ │ │ │ │ │ │ │ │работников и клиентов организации в │ │ │ │ │ │ │ │ │ │ │ │случае компрометации информации, │ │ │ │ │ │ │ │ │ │ │ │необходимой для их идентификации, │ │ │ │ │ │ │ │ │ │ │ │аутентификации и (или) авторизации, в │ │ │ │ │ │ │ │ │ │ │ │том числе произошедшей по их вине, │ │ │ │ │ │ │ │ │ │ │ │включая информацию о способах │ │ │ │ │ │ │ │ │ │ │ │распознавания таких случаев? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.26 │Доведены ли до сведения работников и │ обязательный │ │ │ │ │ │ │ 0,0283 │ │ │ │клиентов организации процедуры, │ │ │ │ │ │ │ │ │ │ │ │указанные в частном показателе M3.25? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.27 │Предусматривают ли указанные в частном│ обязательный │ │ │ │ │ │ │ 0,0254 │ │ │ │показателе M3.26 процедуры │ │ │ │ │ │ │ │ │ │ │ │документирование работниками и │ │ │ │ │ │ │ │ │ │ │ │клиентами своих действий и их │ │ │ │ │ │ │ │ │ │ │ │результатов? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.28 │Реализованы ли в системах │ обязательный │ │ │ │ │ │ │ 0,0239 │ │ │ │дистанционного банковского │ │ │ │ │ │ │ │ │ │ │ │обслуживания механизмы информирования │ │ │ │ │ │ │ │ │ │ │ │(регулярного, непрерывного или по │ │ │ │ │ │ │ │ │ │ │ │требованию) клиентов обо всех │ │ │ │ │ │ │ │ │ │ │ │операциях, совершаемых от их имени? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.29 │Применяются ли в организации защитные │ обязательный │ │ │ │ │ │ │ 0,0319 │ │ │ │меры, направленные на обеспечение │ │ │ │ │ │ │ │ │ │ │ │защиты от НСД и НРД, повреждения или │ │ │ │ │ │ │ │ │ │ │ │нарушения целостности информации, │ │ │ │ │ │ │ │ │ │ │ │необходимой для регистрации, │ │ │ │ │ │ │ │ │ │ │ │идентификации, аутентификации и (или) │ │ │ │ │ │ │ │ │ │ │ │авторизации клиентов и работников │ │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.30 │Регистрируются ли все попытки НСД и │ обязательный │ │ │ │ │ │ │ 0,0326 │ │ │ │НРД к информации, необходимой для │ │ │ │ │ │ │ │ │ │ │ │идентификации, аутентификации и (или) │ │ │ │ │ │ │ │ │ │ │ │авторизации клиентов и сотрудников │ │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.31 │Определена ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0316 │ │ │ │и выполняется ли процедура пересмотра │ │ │ │ │ │ │ │ │ │ │ │прав доступа при увольнении или │ │ │ │ │ │ │ │ │ │ │ │изменении должностных обязанностей │ │ │ │ │ │ │ │ │ │ │ │работников организации, имевших доступ│ │ │ │ │ │ │ │ │ │ │ │к информации, необходимой для │ │ │ │ │ │ │ │ │ │ │ │идентификации, аутентификации и (или) │ │ │ │ │ │ │ │ │ │ │ │авторизации клиентов и сотрудников │ │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼────────────┼────────────┤ │ M3.32 │Осуществляется ли работа всех │ обязательный │ │ │ │ │ │ │ 0,0349 │ │ │ │пользователей АБС под уникальными │ │ │ │ │ │ │ │ │ │ │ │учетными записями? │ │ │ │ │ │ │ │ │ │ ├────────────┴──────────────────────────────────────┴───────────────┴──┴────┴────┴────┴───┴────┴────────────┼────────────┤ │Итоговая оценка группового показателя M3 │ │ └───────────────────────────────────────────────────────────────────────────────────────────────────────────┴────────────┘

Групповой показатель M4 "Обеспечение информационной

безопасности средствами антивирусной защиты"

Групповой показатель M5 "Обеспечение информационной

безопасности при использовании ресурсов сети Интернет"

Групповой показатель M6 "Обеспечение

информационной безопасности при использовании средств

криптографической защиты информации"

Групповой показатель M7 "Обеспечение

информационной безопасности банковских платежных

технологических процессов"

┌────────────┬──────────────────────────────────────┬───────────────┬──────────────────────────┬───────────┬─────────────┐ │Обозначение │ Частный показатель ИБ │Обязательность │ Оценка частного │Коэффициент│ Вычисленное │ │ частного │ │ выполнения │ показателя ИБ │значимости │ значение │ │ показателя │ │ ├──┬────┬────┬────┬───┬────┤ частного │ показателя │ │ ИБ │ │ │0 │0,25│0,5 │0,75│ 1 │н/о │показателя │ ИБ │ │ │ │ │ │ │ │ │ │ │ ИБ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.1 │Определен ли в документах организации │ обязательный │ │ │ │ │ │ │ 0,0405 │ │ │ │банковский платежный технологический │ │ │ │ │ │ │ │ │ │ │ │процесс? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.2 │Определены ли документально перечни │ обязательный │ │ │ │ │ │ │ 0,0365 │ │ │ │программного обеспечения, │ │ │ │ │ │ │ │ │ │ │ │устанавливаемого и (или) используемого│ │ │ │ │ │ │ │ │ │ │ │в ЭВМ и АБС и необходимого для │ │ │ │ │ │ │ │ │ │ │ │выполнения конкретных банковских │ │ │ │ │ │ │ │ │ │ │ │платежных технологических процессов? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.3 │Соответствует ли состав установленного│ обязательный │ │ │ │ │ │ │ 0,0389 │ │ │ │и используемого в ЭВМ и АБС │ │ │ │ │ │ │ │ │ │ │ │программного обеспечения определенному│ │ │ │ │ │ │ │ │ │ │ │перечню? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.4 │Контролируется ли выполнение │ обязательный │ │ │ │ │ │ │ 0,0319 │ │ │ │требований, оцениваемых в частных │ │ │ │ │ │ │ │ │ │ │ │показателях M7.2, M7.3, с │ │ │ │ │ │ │ │ │ │ │ │документированием результатов │ │ │ │ │ │ │ │ │ │ │ │контроля? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.5 │Зафиксирован ли порядок обмена │ обязательный │ │ │ │ │ │ │ 0,0451 │ │ │ │платежной информацией в договорах │ │ │ │ │ │ │ │ │ │ │ │между участниками данного обмена? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.6 │Отсутствуют ли в организации │ обязательный │ │ │ │ │ │ │ 0,0448 │ │ │ │работники, обладающие полномочиями для│ │ │ │ │ │ │ │ │ │ │ │бесконтрольного создания, авторизации,│ │ │ │ │ │ │ │ │ │ │ │уничтожения и изменения платежной │ │ │ │ │ │ │ │ │ │ │ │информации, а также проведение │ │ │ │ │ │ │ │ │ │ │ │несанкционированных операций по │ │ │ │ │ │ │ │ │ │ │ │изменению состояния банковских счетов?│ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.7 │Контролируются (проверяются) ли и │ обязательный │ │ │ │ │ │ │ 0,0458 │ │ │ │удостоверяются ли результаты │ │ │ │ │ │ │ │ │ │ │ │технологических операций по обработке │ │ │ │ │ │ │ │ │ │ │ │платежной информации лицами/ │ │ │ │ │ │ │ │ │ │ │ │автоматизированными процессами? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.8 │Осуществляется ли обработка платежной │ рекомендуемый │//│////│////│////│ │ │ 0,0442 │ │ │ │информации и контроль (проверка) │ │//│////│////│////│ │ │ │ │ │ │результатов обработки разными │ │//│////│////│////│ │ │ │ │ │ │работниками/автоматизированными │ │//│////│////│////│ │ │ │ │ │ │процессами? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.9 │Возложены ли обязанности по │ рекомендуемый │//│////│////│////│ │ │ 0,0365 │ │ │ │администрированию средств защиты │ │//│////│////│////│ │ │ │ │ │ │платежной информации приказами или │ │//│////│////│////│ │ │ │ │ │ │распоряжениями по организации на │ │//│////│////│////│ │ │ │ │ │ │администраторов ИБ с отражением этих │ │//│////│////│////│ │ │ │ │ │ │обязанностей в должностных │ │//│////│////│////│ │ │ │ │ │ │инструкциях? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.10 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0436 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса защиту │ │ │ │ │ │ │ │ │ │ │ │платежной информации от искажения, │ │ │ │ │ │ │ │ │ │ │ │фальсификации, переадресации, │ │ │ │ │ │ │ │ │ │ │ │несанкционированного уничтожения, │ │ │ │ │ │ │ │ │ │ │ │ложной авторизации электронных │ │ │ │ │ │ │ │ │ │ │ │платежных сообщений? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.11 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0384 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса доступ │ │ │ │ │ │ │ │ │ │ │ │работника организации только к тем │ │ │ │ │ │ │ │ │ │ │ │ресурсам банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса, которые │ │ │ │ │ │ │ │ │ │ │ │необходимы ему для исполнения │ │ │ │ │ │ │ │ │ │ │ │должностных обязанностей или │ │ │ │ │ │ │ │ │ │ │ │реализации прав, предусмотренных │ │ │ │ │ │ │ │ │ │ │ │технологией обработки платежной │ │ │ │ │ │ │ │ │ │ │ │информации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.12 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0389 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса контроль │ │ │ │ │ │ │ │ │ │ │ │(мониторинг) исполнения установленной │ │ │ │ │ │ │ │ │ │ │ │технологии подготовки, обработки, │ │ │ │ │ │ │ │ │ │ │ │передачи и хранения платежной │ │ │ │ │ │ │ │ │ │ │ │информации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.13 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0412 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса │ │ │ │ │ │ │ │ │ │ │ │аутентификацию входящих электронных │ │ │ │ │ │ │ │ │ │ │ │платежных сообщений? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.14 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0412 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса двустороннюю│ │ │ │ │ │ │ │ │ │ │ │аутентификацию автоматизированных │ │ │ │ │ │ │ │ │ │ │ │рабочих мест (рабочих станций и │ │ │ │ │ │ │ │ │ │ │ │серверов), участников обмена │ │ │ │ │ │ │ │ │ │ │ │электронными платежными сообщениями? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.15 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0436 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса возможность │ │ │ │ │ │ │ │ │ │ │ │ввода платежной информации в АБС │ │ │ │ │ │ │ │ │ │ │ │только для авторизованных │ │ │ │ │ │ │ │ │ │ │ │пользователей? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.16 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0436 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса контроль, │ │ │ │ │ │ │ │ │ │ │ │направленный на исключение возможности│ │ │ │ │ │ │ │ │ │ │ │совершения злоумышленных действий │ │ │ │ │ │ │ │ │ │ │ │(двойной ввод, сверку, установление │ │ │ │ │ │ │ │ │ │ │ │ограничений в зависимости от суммы │ │ │ │ │ │ │ │ │ │ │ │совершения операций и т.д.)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.17 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0392 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса │ │ │ │ │ │ │ │ │ │ │ │восстановление платежной информации в │ │ │ │ │ │ │ │ │ │ │ │случае ее умышленного (случайного) │ │ │ │ │ │ │ │ │ │ │ │разрушения (искажения) или выхода из │ │ │ │ │ │ │ │ │ │ │ │строя средств вычислительной техники? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.18 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0436 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса при │ │ │ │ │ │ │ │ │ │ │ │осуществлении межбанковских расчетов │ │ │ │ │ │ │ │ │ │ │ │сверку выходных электронных платежных │ │ │ │ │ │ │ │ │ │ │ │сообщений с соответствующими входными │ │ │ │ │ │ │ │ │ │ │ │и обработанными электронными │ │ │ │ │ │ │ │ │ │ │ │платежными сообщениями? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.19 │Предусматривает ли комплекс мер по │ обязательный │ │ │ │ │ │ │ 0,0408 │ │ │ │обеспечению ИБ банковского платежного │ │ │ │ │ │ │ │ │ │ │ │технологического процесса доставку │ │ │ │ │ │ │ │ │ │ │ │электронных платежных сообщений │ │ │ │ │ │ │ │ │ │ │ │участникам обмена? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.20 │Организован ли в организации │ рекомендуемый │//│////│////│////│ │ │ 0,0364 │ │ │ │авторизованный ввод платежной │ │//│////│////│////│ │ │ │ │ │ │информации в АБС двумя работниками с │ │//│////│////│////│ │ │ │ │ │ │последующей программной сверкой │ │//│////│////│////│ │ │ │ │ │ │результатов ввода на совпадение │ │//│////│////│////│ │ │ │ │ │ │(принцип "двойного управления")? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.21 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0337 │ │ │ │и выполняются ли при проектировании, │ │ │ │ │ │ │ │ │ │ │ │разработке, эксплуатации систем │ │ │ │ │ │ │ │ │ │ │ │дистанционного банковского │ │ │ │ │ │ │ │ │ │ │ │обслуживания процедуры, реализующие │ │ │ │ │ │ │ │ │ │ │ │механизмы: │ │ │ │ │ │ │ │ │ │ │ │- снижения вероятности выполнения │ │ │ │ │ │ │ │ │ │ │ │непреднамеренных или случайных │ │ │ │ │ │ │ │ │ │ │ │операций или транзакций │ │ │ │ │ │ │ │ │ │ │ │авторизованными клиентами; │ │ │ │ │ │ │ │ │ │ │ │- доведения информации о возможных │ │ │ │ │ │ │ │ │ │ │ │рисках, связанных с выполнением │ │ │ │ │ │ │ │ │ │ │ │операций или транзакций до клиентов? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.22 │Обеспечены ли клиенты систем │ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ │дистанционного банковского │ │ │ │ │ │ │ │ │ │ │ │обслуживания детальными инструкциями, │ │ │ │ │ │ │ │ │ │ │ │описывающими процедуры выполнения │ │ │ │ │ │ │ │ │ │ │ │операций или транзакций? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.23 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0368 │ │ │ │и выполняются ли процедуры │ │ │ │ │ │ │ │ │ │ │ │обслуживания средств вычислительной │ │ │ │ │ │ │ │ │ │ │ │техники, используемых в банковском │ │ │ │ │ │ │ │ │ │ │ │платежном технологическом процессе, │ │ │ │ │ │ │ │ │ │ │ │включая замену их программных и (или) │ │ │ │ │ │ │ │ │ │ │ │аппаратных частей? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.24 │Определена ли в документах │ обязательный │ │ │ │ │ │ │ 0,0392 │ │ │ │организации, согласована ли со службой│ │ │ │ │ │ │ │ │ │ │ │либо лицом, отвечающим в организации │ │ │ │ │ │ │ │ │ │ │ │за обеспечение ИБ, и выполняется ли │ │ │ │ │ │ │ │ │ │ │ │процедура периодического контроля всех│ │ │ │ │ │ │ │ │ │ │ │реализованных программно-техническими │ │ │ │ │ │ │ │ │ │ │ │средствами функций (требований) по │ │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ платежной информации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M7.25 │Определена ли в документах │ обязательный │ │ │ │ │ │ │ 0,0392 │ │ │ │организации, согласована ли со службой│ │ │ │ │ │ │ │ │ │ │ │либо лицом, отвечающим в организации │ │ │ │ │ │ │ │ │ │ │ │за обеспечение ИБ, и выполняется ли │ │ │ │ │ │ │ │ │ │ │ │процедура восстановления всех │ │ │ │ │ │ │ │ │ │ │ │реализованных программно-техническими │ │ │ │ │ │ │ │ │ │ │ │средствами функций по обеспечению ИБ │ │ │ │ │ │ │ │ │ │ │ │платежной информации? │ │ │ │ │ │ │ │ │ │ ├────────────┴──────────────────────────────────────┴───────────────┴──┴────┴────┴────┴───┴────┴───────────┼─────────────┤ │Итоговая оценка группового показателя M7 │ │ └──────────────────────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M8 "Обеспечение

информационной безопасности банковских информационных

технологических процессов"

Групповой показатель M9 "Общие требования по обработке

персональных данных в организации БС РФ"

┌────────────┬──────────────────────────────────────┬───────────────┬──────────────────────────┬───────────┬─────────────┐ │Обозначение │ Частный показатель ИБ │Обязательность │ Оценка частного │Коэффициент│ Вычисленное │ │ частного │ │ выполнения │ показателя ИБ │значимости │ значение │ │ показателя │ │ ├──┬────┬────┬────┬───┬────┤ частного │ показателя │ │ ИБ │ │ │0 │0,25│0,5 │0,75│ 1 │н/о │показателя │ ИБ < ** > │ │ │ │ │ │ │ │ │ │ │ ИБ < * > │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.1 │Определены ли в организации, │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксированы ли документально и │ │ │ │ │ │ │ │///////////│ │ │ │утверждены ли руководством организации│ │ │ │ │ │ │ │///////////│ │ │ │цели обработки персональных данных? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.2 │Определена ли в организации │ обязательный │ │ │ │ │ │ │///////////│ │ │ │необходимость уведомления │ │ │ │ │ │ │ │///////////│ │ │ │Уполномоченного органа по защите прав │ │ │ │ │ │ │ │///////////│ │ │ │субъектов персональных данных об │ │ │ │ │ │ │ │///////////│ │ │ │обработке персональных данных? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.3 │Определены ли в организации для каждой│ обязательный │ │ │ │ │ │ │///////////│ │ │ │цели обработки персональных данных, │ │ │ │ │ │ │ │///////////│ │ │ │зафиксированы ли документально и │ │ │ │ │ │ │ │///////////│ │ │ │утверждены ли руководством │ │ │ │ │ │ │ │///////////│ │ │ │организации: │ │ │ │ │ │ │ │///////////│ │ │ │- объем и содержание персональных │ │ │ │ │ │ │ │///////////│ │ │ │данных; │ │ │ │ │ │ │ │///////////│ │ │ │- сроки обработки, в том числе сроки │ │ │ │ │ │ │ │///////////│ │ │ │хранения персональных данных; │ │ │ │ │ │ │ │///////////│ │ │ │- необходимость получения согласия │ │ │ │ │ │ │ │///////////│ │ │ │субъектов персональных данных? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.4 │Проводится ли в организации │ рекомендуемый │//│////│////│////│ │ │///////////│ │ │ │классификация персональных данных в │ │//│////│////│////│ │ │///////////│ │ │ │соответствии со степенью тяжести │ │//│////│////│////│ │ │///////////│ │ │ │последствий потери свойств │ │//│////│////│////│ │ │///////////│ │ │ │безопасности персональных данных для │ │//│////│////│////│ │ │///////////│ │ │ │субъекта персональных данных? │ │//│////│////│////│ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.5 │Выделяются ли при проведении │ рекомендуемый │//│////│////│////│ │ │///////////│ │ │ │классификации персональных данных │ │//│////│////│////│ │ │///////////│ │ │ │следующие категории: │ │//│////│////│////│ │ │///////////│ │ │ │- персональные данные, отнесенные в │ │//│////│////│////│ │ │///////////│ │ │ │соответствии с Федеральным законом "О │ │//│////│////│////│ │ │///////////│ │ │ │персональных данных" к специальным │ │//│////│////│////│ │ │///////////│ │ │ │категориям персональных данных; │ │//│////│////│////│ │ │///////////│ │ │ │- персональные данные, отнесенные в │ │//│////│////│////│ │ │///////////│ │ │ │соответствии с Федеральным законом "О │ │//│////│////│////│ │ │///////////│ │ │ │персональных данных" к биометрическим │ │//│////│////│////│ │ │///////////│ │ │ │персональным данным; │ │//│////│////│////│ │ │///////////│ │ │ │- персональные данные, которые не │ │//│////│////│////│ │ │///////////│ │ │ │могут быть отнесены к специальным │ │//│////│////│////│ │ │///////////│ │ │ │категориям персональных данных, к │ │//│////│////│////│ │ │///////////│ │ │ │биометрическим персональным данным, │ │//│////│////│////│ │ │///////////│ │ │ │к общедоступным или обезличенным │ │//│////│////│////│ │ │///////////│ │ │ │персональным данным; │ │//│////│////│////│ │ │///////////│ │ │ │- персональные данные, отнесенные в │ │//│////│////│////│ │ │///////////│ │ │ │соответствии с Федеральным законом │ │//│////│////│////│ │ │///////////│ │ │ │"О персональных данных" к │ │//│////│////│////│ │ │///////////│ │ │ │общедоступным или обезличенным │ │//│////│////│////│ │ │///////////│ │ │ │персональным данным? │ │//│////│////│////│ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.6 │Осуществляется ли организацией │ обязательный │ │ │ │ │ │ │///////////│ │ │ │передача персональных данных третьему │ │ │ │ │ │ │ │///////////│ │ │ │лицу с согласия субъекта персональных │ │ │ │ │ │ │ │///////////│ │ │ │данных? │ │ │ │ │ │ │ │///////////│ │ │ │В том случае, если организация │ │ │ │ │ │ │ │///////////│ │ │ │поручает обработку персональных данных│ │ │ │ │ │ │ │///////////│ │ │ │третьему лицу на основании договора - │ │ │ │ │ │ │ │///////////│ │ │ │включается ли в такой договор │ │ │ │ │ │ │ │///////////│ │ │ │обязанность обеспечения третьим лицом │ │ │ │ │ │ │ │///////////│ │ │ │конфиденциальности персональных данных│ │ │ │ │ │ │ │///////////│ │ │ │и безопасности персональных данных при│ │ │ │ │ │ │ │///////////│ │ │ │их обработке? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.7 │Прекращается ли в организации │ обязательный │ │ │ │ │ │ │///////////│ │ │ │обработка персональных данных и │ │ │ │ │ │ │ │///////////│ │ │ │уничтожаются ли собранные персональные│ │ │ │ │ │ │ │///////////│ │ │ │данные в следующих случаях и в сроки, │ │ │ │ │ │ │ │///////////│ │ │ │установленные законодательством РФ: │ │ │ │ │ │ │ │///////////│ │ │ │- по достижении целей обработки или │ │ │ │ │ │ │ │///////////│ │ │ │при утрате необходимости в их │ │ │ │ │ │ │ │///////////│ │ │ │достижении; │ │ │ │ │ │ │ │///////////│ │ │ │- по требованию субъекта персональных │ │ │ │ │ │ │ │///////////│ │ │ │данных или Уполномоченного органа по │ │ │ │ │ │ │ │///////////│ │ │ │защите прав субъектов персональных │ │ │ │ │ │ │ │///////////│ │ │ │данных - если персональные данные │ │ │ │ │ │ │ │///////////│ │ │ │являются неполными, устаревшими, │ │ │ │ │ │ │ │///////////│ │ │ │недостоверными, незаконно полученными │ │ │ │ │ │ │ │///////////│ │ │ │или не являются необходимыми для │ │ │ │ │ │ │ │///////////│ │ │ │заявленной цели обработки; │ │ │ │ │ │ │ │///////////│ │ │ │- при отзыве субъектом персональных │ │ │ │ │ │ │ │///////////│ │ │ │данных согласия на обработку своих │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных, если такое │ │ │ │ │ │ │ │///////////│ │ │ │согласие требуется в соответствии с │ │ │ │ │ │ │ │///////////│ │ │ │законодательством РФ; │ │ │ │ │ │ │ │///////////│ │ │ │- при невозможности устранения │ │ │ │ │ │ │ │///////////│ │ │ │оператором допущенных нарушений при │ │ │ │ │ │ │ │///////////│ │ │ │обработке персональных данных? │ │ │ │ │ │ │ │///////////│ │ │ │Примечание: если иное установлено │ │ │ │ │ │ │ │///////////│ │ │ │законодательством РФ, показателю │ │ │ │ │ │ │ │///////////│ │ │ │присваивается оценка "н/о". │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.8 │Определен ли в организации и │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксирован ли документально порядок │ │ │ │ │ │ │ │///////////│ │ │ │уничтожения персональных данных (в том│ │ │ │ │ │ │ │///////////│ │ │ │числе и материальных носителей │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных)? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.9 │Определен ли в организации и │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксирован ли документально порядок │ │ │ │ │ │ │ │///////////│ │ │ │обработки обращений субъектов │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных (или их законных │ │ │ │ │ │ │ │///////////│ │ │ │представителей) по вопросам обработки │ │ │ │ │ │ │ │///////////│ │ │ │их персональных данных? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.10 │Определен ли в организации и │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксирован ли документально порядок │ │ │ │ │ │ │ │///////////│ │ │ │действий в случае запросов │ │ │ │ │ │ │ │///////////│ │ │ │Уполномоченного органа по защите прав │ │ │ │ │ │ │ │///////////│ │ │ │субъектов персональных данных или иных│ │ │ │ │ │ │ │///////////│ │ │ │надзорных органов, осуществляющих │ │ │ │ │ │ │ │///////////│ │ │ │контроль и надзор в области │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.11 │Определен ли в организации и │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксирован ли документально подход к│ │ │ │ │ │ │ │///////////│ │ │ │отнесению АБС к информационным │ │ │ │ │ │ │ │///////////│ │ │ │системам персональных данных (ИСПДн)? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.12 │Определен ли в организации и │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксирован ли документально перечень│ │ │ │ │ │ │ │///////////│ │ │ │ИСПДн, в который включены как минимум │ │ │ │ │ │ │ │///////////│ │ │ │АБС, целью создания и использования │ │ │ │ │ │ │ │///////////│ │ │ │которых является обработка │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных и не включены АБС,│ │ │ │ │ │ │ │///////////│ │ │ │реализующие банковские платежные │ │ │ │ │ │ │ │///////////│ │ │ │технологические процессы? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.13 │Определены ли для каждой ИСПДн │ обязательный │ │ │ │ │ │ │///////////│ │ │ │организации и зафиксированы ли │ │ │ │ │ │ │ │///////////│ │ │ │документально: │ │ │ │ │ │ │ │///////////│ │ │ │- цель обработки персональных данных; │ │ │ │ │ │ │ │///////////│ │ │ │- объем и содержание обрабатываемых │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных; │ │ │ │ │ │ │ │///////////│ │ │ │- перечень действий с персональными │ │ │ │ │ │ │ │///////////│ │ │ │данными и способы их обработки? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.14 │Соответствуют ли целям обработки объем│ обязательный │ │ │ │ │ │ │///////////│ │ │ │и содержание персональных данных в │ │ │ │ │ │ │ │///////////│ │ │ │ИСПДн, а также перечень действий и │ │ │ │ │ │ │ │///////////│ │ │ │способы обработки персональных данных?│ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.15 │Документированы ли в организации │ обязательный │ │ │ │ │ │ │///////////│ │ │ │банковские информационные │ │ │ │ │ │ │ │///////////│ │ │ │технологические процессы, в рамках │ │ │ │ │ │ │ │///////////│ │ │ │которых обрабатываются персональные │ │ │ │ │ │ │ │///////////│ │ │ │данные в ИСПДн? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.16 │Исключена ли при обработке ПДн в ИСПДн│ рекомендуемый │//│////│////│////│ │ │///////////│ │ │ │фиксация на одном материальном │ │//│////│////│////│ │ │///////////│ │ │ │носителе и персональных данных, и иных│ │//│////│////│////│ │ │///////////│ │ │ │видов информационных активов, а также │ │//│////│////│////│ │ │///////////│ │ │ │персональных данных, цели обработки │ │//│////│////│////│ │ │///////////│ │ │ │которых заведомо несовместимы? │ │//│////│////│////│ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.17 │Используется ли при обработке ПДн в │ рекомендуемый │//│////│////│////│ │ │///////////│ │ │ │ИСПДн для каждой категории │ │//│////│////│////│ │ │///////////│ │ │ │персональных данных отдельный │ │//│////│////│////│ │ │///////////│ │ │ │материальный носитель? │ │//│////│////│////│ │ │///////////│ │ │ │Примечание: если в ИСПДн │ │//│////│////│////│ │ │///////////│ │ │ │обрабатываются ПДн только одной │ │//│////│////│////│ │ │///////////│ │ │ │категории, показателю присваивается │ │//│////│////│////│ │ │///////////│ │ │ │оценка "н/о". │ │//│////│////│////│ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.18 │Определен ли в организации и │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксирован ли документально перечень│ │ │ │ │ │ │ │///////////│ │ │ │(список) работников, осуществляющих │ │ │ │ │ │ │ │///////////│ │ │ │обработку персональных данных в ИСПДн │ │ │ │ │ │ │ │///////////│ │ │ │либо имеющих доступ к персональным │ │ │ │ │ │ │ │///////////│ │ │ │данным? Допускается указание │ │ │ │ │ │ │ │///////////│ │ │ │работников в перечне (списке) на │ │ │ │ │ │ │ │///////////│ │ │ │ролевой основе в соответствии с │ │ │ │ │ │ │ │///////////│ │ │ │занимаемой должностью на основании │ │ │ │ │ │ │ │///////////│ │ │ │требований раздела 7.2 │ │ │ │ │ │ │ │///////////│ │ │ │СТО БР ИББС-1.0. Возможно │ │ │ │ │ │ │ │///////////│ │ │ │существование перечня (списка) в │ │ │ │ │ │ │ │///////////│ │ │ │электронном виде при условии │ │ │ │ │ │ │ │///////////│ │ │ │предоставления работникам прав │ │ │ │ │ │ │ │///////////│ │ │ │доступа в ИСПДн только на основании │ │ │ │ │ │ │ │///////////│ │ │ │распорядительного документа в │ │ │ │ │ │ │ │///////////│ │ │ │документально зафиксированном в │ │ │ │ │ │ │ │///////////│ │ │ │организации порядке. │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.19 │Осуществляется ли доступ работников │ обязательный │ │ │ │ │ │ │///////////│ │ │ │организации к персональным данным │ │ │ │ │ │ │ │///////////│ │ │ │(обработка персональных данных │ │ │ │ │ │ │ │///////////│ │ │ │работниками) только для выполнения их │ │ │ │ │ │ │ │///////////│ │ │ │должностных обязанностей? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.20 │Проинформированы ли работники │ обязательный │ │ │ │ │ │ │///////////│ │ │ │организации, осуществляющие обработку │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных в ИСПДн, о факте │ │ │ │ │ │ │ │///////////│ │ │ │обработки ими персональных данных, │ │ │ │ │ │ │ │///////////│ │ │ │категориях обрабатываемых персональных│ │ │ │ │ │ │ │///////////│ │ │ │данных, а также ознакомлены ли │ │ │ │ │ │ │ │///////////│ │ │ │работники под роспись со всей │ │ │ │ │ │ │ │///////////│ │ │ │совокупностью требований по обработке │ │ │ │ │ │ │ │///////////│ │ │ │и обеспечению безопасности │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных в части, │ │ │ │ │ │ │ │///////////│ │ │ │касающейся их должностных │ │ │ │ │ │ │ │///////////│ │ │ │обязанностей? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.21 │Определен ли в организации и │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксирован ли документально порядок │ │ │ │ │ │ │ │///////////│ │ │ │доступа работников организации или │ │ │ │ │ │ │ │///////////│ │ │ │иных лиц в помещения, в которых │ │ │ │ │ │ │ │///////////│ │ │ │ведется обработка персональных данных?│ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.22 │Определен ли в организации и │ обязательный │ │ │ │ │ │ │///////////│ │ │ │зафиксирован ли документально порядок │ │ │ │ │ │ │ │///////////│ │ │ │хранения материальных носителей │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных, устанавливающий: │ │ │ │ │ │ │ │///////////│ │ │ │- места хранения материальных │ │ │ │ │ │ │ │///////////│ │ │ │носителей персональных данных; │ │ │ │ │ │ │ │///////////│ │ │ │- требования по обеспечению │ │ │ │ │ │ │ │///////////│ │ │ │безопасности персональных данных при │ │ │ │ │ │ │ │///////////│ │ │ │хранении их носителей; │ │ │ │ │ │ │ │///////////│ │ │ │- работников, ответственных за │ │ │ │ │ │ │ │///////////│ │ │ │реализацию требований по обеспечению │ │ │ │ │ │ │ │///////////│ │ │ │безопасности персональных данных; │ │ │ │ │ │ │ │///////////│ │ │ │- порядок контроля выполнения │ │ │ │ │ │ │ │///////////│ │ │ │требований по обеспечению безопасности│ │ │ │ │ │ │ │///////////│ │ │ │персональных данных при хранении │ │ │ │ │ │ │ │///////////│ │ │ │материальных носителей персональных │ │ │ │ │ │ │ │///////////│ │ │ │данных? │ │ │ │ │ │ │ │///////////│ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M9.23 │Соблюдаются ли требования, │ обязательный │ │ │ │ │ │ │///////////│ │ │ │установленные "Положением об │ │ │ │ │ │ │ │///////////│ │ │ │особенностях обработки персональных │ │ │ │ │ │ │ │///////////│ │ │ │данных, осуществляемой без │ │ │ │ │ │ │ │///////////│ │ │ │использования средств автоматизации", │ │ │ │ │ │ │ │///////////│ │ │ │утвержденным Постановлением │ │ │ │ │ │ │ │///////////│ │ │ │Правительства РФ от 15 сентября 2008 │ │ │ │ │ │ │ │///////////│ │ │ │г. N 687, при обработке в организации │ │ │ │ │ │ │ │///////////│ │ │ │персональных данных на бумажных │ │ │ │ │ │ │ │///////////│ │ │ │носителях, в частности, при │ │ │ │ │ │ │ │///////////│ │ │ │использовании в организации БС РФ │ │ │ │ │ │ │ │///////////│ │ │ │типовых форм документов, характер │ │ │ │ │ │ │ │///////////│ │ │ │информации в которых предполагает или │ │ │ │ │ │ │ │///////////│ │ │ │допускает включение в них персональных│ │ │ │ │ │ │ │///////////│ │ │ │данных? │ │ │ │ │ │ │ │///////////│ │ ├────────────┴──────────────────────────────────────┴───────────────┴──┴────┴────┴────┴───┴────┴───────────┼─────────────┤ │Итоговая оценка группового показателя M9///////////////////////////////////////////////////////////////// │ │ └──────────────────────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

< * > Графа не заполняется.

< ** > Вычисленное значение показателя ИБ равно оценке соответствующего частного показателя (столбцы 4 - 9 таблицы).

Групповой показатель M10 "Общие требования

по обеспечению информационной безопасности банковских

технологических процессов, в рамках которых обрабатываются

персональные данные"

Групповой показатель M11 "Организация и функционирование

службы ИБ организации БС РФ"

Групповой показатель M12 "Определение/коррекция области

действия СОИБ"

Групповой показатель M13 "Выбор/коррекция

подхода к оценке рисков нарушения ИБ и проведению оценки

рисков нарушения ИБ"

Групповой показатель M14 "Разработка планов обработки

рисков нарушения ИБ"

Групповой показатель M15 "Определение/коррекция

внутренних документов, регламентирующих деятельность

в области обеспечения ИБ"

┌────────────┬──────────────────────────────────────┬───────────────┬──────────────────────────┬───────────┬─────────────┐ │Обозначение │ Частный показатель ИБ │Обязательность │ Оценка частного │Коэффициент│ Вычисленное │ │ частного │ │ выполнения │ показателя ИБ │значимости │ значение │ │ показателя │ │ ├──┬────┬────┬────┬───┬────┤ частного │ показателя │ │ ИБ │ │ │0 │0,25│0,5 │0,75│ 1 │н/о │показателя │ ИБ │ │ │ │ │ │ │ │ │ │ │ ИБ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.1 │Проводятся ли разработка и коррекция │ рекомендуемый │//│////│////│////│ │ │ 0,0406 │ │ │ │внутренних документов, │ │//│////│////│////│ │ │ │ │ │ │регламентирующих деятельность в │ │//│////│////│////│ │ │ │ │ │ │области обеспечения ИБ в организации, │ │//│////│////│////│ │ │ │ │ │ │с учетом рекомендаций по │ │//│////│////│////│ │ │ │ │ │ │стандартизации Банка России РС БР │ │//│////│////│////│ │ │ │ │ │ │ИББС-2.0 "Обеспечение информационной │ │//│////│////│////│ │ │ │ │ │ │безопасности организаций банковской │ │//│////│////│////│ │ │ │ │ │ │системы Российской Федерации. │ │//│////│////│////│ │ │ │ │ │ │Методические рекомендации по │ │//│////│////│////│ │ │ │ │ │ │документации в области обеспечения │ │//│////│////│////│ │ │ │ │ │ │информационной безопасности в │ │//│////│////│////│ │ │ │ │ │ │соответствии с требованиями СТО БР │ │//│////│////│////│ │ │ │ │ │ │ИББС-1.0"? │ │//│////│////│////│ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.2 │Разработана ли политика ИБ │ обязательный │ │ │ │ │ │ │ 0,0628 │ │ │ │организации? Утверждена ли политика ИБ│ │ │ │ │ │ │ │ │ │ │ │руководством? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.3 │Корректируется ли политика ИБ │ обязательный │ │ │ │ │ │ │ 0,0557 │ │ │ │организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.4 │Разработаны ли частные политики ИБ │ обязательный │ │ │ │ │ │ │ 0,0580 │ │ │ │организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.5 │Корректируются ли частные политики ИБ │ обязательный │ │ │ │ │ │ │ 0,0557 │ │ │ │организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.6 │Разработаны ли в организации │ обязательный │ │ │ │ │ │ │ 0,0510 │ │ │ │документы, регламентирующие процедуры │ │ │ │ │ │ │ │ │ │ │ │выполнения отдельных видов │ │ │ │ │ │ │ │ │ │ │ │деятельности, связанных с обеспечением│ │ │ │ │ │ │ │ │ │ │ │ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.7 │Корректируются ли в организации │ обязательный │ │ │ │ │ │ │ 0,0489 │ │ │ │документы, регламентирующие процедуры │ │ │ │ │ │ │ │ │ │ │ │выполнения отдельных видов │ │ │ │ │ │ │ │ │ │ │ │деятельности, связанных с обеспечением│ │ │ │ │ │ │ │ │ │ │ │ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.8 │Определены ли в организации перечень и│ обязательный │ │ │ │ │ │ │ 0,0407 │ │ │ │формы документов, являющихся │ │ │ │ │ │ │ │ │ │ │ │свидетельством выполнения деятельности│ │ │ │ │ │ │ │ │ │ │ │по обеспечению ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.9 │Определены ли в политике ИБ (частных │ обязательный │ │ │ │ │ │ │ 0,0510 │ │ │ │политиках ИБ) организации: │ │ │ │ │ │ │ │ │ │ │ │- цели и задачи обеспечения ИБ; │ │ │ │ │ │ │ │ │ │ │ │- основные области обеспечения ИБ; │ │ │ │ │ │ │ │ │ │ │ │- типы основных защищаемых │ │ │ │ │ │ │ │ │ │ │ │информационных активов; │ │ │ │ │ │ │ │ │ │ │ │- модели угроз и нарушителей; │ │ │ │ │ │ │ │ │ │ │ │- совокупность правил, требований и │ │ │ │ │ │ │ │ │ │ │ │руководящих принципов в области ИБ; │ │ │ │ │ │ │ │ │ │ │ │- основные требования к обеспечению │ │ │ │ │ │ │ │ │ │ │ │ИБ; │ │ │ │ │ │ │ │ │ │ │ │- принципы противодействия угрозам ИБ │ │ │ │ │ │ │ │ │ │ │ │по отношению к типам основных │ │ │ │ │ │ │ │ │ │ │ │защищаемых информационных активов; │ │ │ │ │ │ │ │ │ │ │ │- основные принципы повышения уровня │ │ │ │ │ │ │ │ │ │ │ │осознания и осведомленности в области │ │ │ │ │ │ │ │ │ │ │ │ИБ; │ │ │ │ │ │ │ │ │ │ │ │- принципы реализации и контроля │ │ │ │ │ │ │ │ │ │ │ │выполнения требований политики ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.10 │Корректируются ли в политике ИБ │ обязательный │ │ │ │ │ │ │ 0,0486 │ │ │ │(частных политиках ИБ) организации: │ │ │ │ │ │ │ │ │ │ │ │- цели и задачи обеспечения ИБ; │ │ │ │ │ │ │ │ │ │ │ │- основные области обеспечения ИБ; │ │ │ │ │ │ │ │ │ │ │ │- типы основных защищаемых │ │ │ │ │ │ │ │ │ │ │ │информационных активов; │ │ │ │ │ │ │ │ │ │ │ │- модели угроз и нарушителей; │ │ │ │ │ │ │ │ │ │ │ │- совокупность правил, требований и │ │ │ │ │ │ │ │ │ │ │ │руководящих принципов в области ИБ; │ │ │ │ │ │ │ │ │ │ │ │- основные требования к обеспечению │ │ │ │ │ │ │ │ │ │ │ │ИБ; │ │ │ │ │ │ │ │ │ │ │ │- принципы противодействия угрозам ИБ │ │ │ │ │ │ │ │ │ │ │ │по отношению к типам основных │ │ │ │ │ │ │ │ │ │ │ │защищаемых информационных активов; │ │ │ │ │ │ │ │ │ │ │ │- основные принципы повышения уровня │ │ │ │ │ │ │ │ │ │ │ │осознания и осведомленности в области │ │ │ │ │ │ │ │ │ │ │ │ИБ; │ │ │ │ │ │ │ │ │ │ │ │- принципы реализации и контроля │ │ │ │ │ │ │ │ │ │ │ │выполнения требований политики ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.11 │Разрабатываются ли внутренние │ обязательный │ │ │ │ │ │ │ 0,0519 │ │ │ │документы, регламентирующие │ │ │ │ │ │ │ │ │ │ │ │деятельность в области обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │ │на основе: │ │ │ │ │ │ │ │ │ │ │ │- законодательства Российской │ │ │ │ │ │ │ │ │ │ │ │Федерации; │ │ │ │ │ │ │ │ │ │ │ │- комплекса БР ИББС, в частности, │ │ │ │ │ │ │ │ │ │ │ │требования 7-го и 8-го разделов │ │ │ │ │ │ │ │ │ │ │ │стандарта СТО БР ИББС-1.0; │ │ │ │ │ │ │ │ │ │ │ │- нормативных актов и предписаний │ │ │ │ │ │ │ │ │ │ │ │регулирующих и надзорных органов; │ │ │ │ │ │ │ │ │ │ │ │- договорных требований организации со│ │ │ │ │ │ │ │ │ │ │ │сторонними организациями; │ │ │ │ │ │ │ │ │ │ │ │- результатов оценки рисков, │ │ │ │ │ │ │ │ │ │ │ │выполненной с соответствующей уровню │ │ │ │ │ │ │ │ │ │ │ │разрабатываемого документа │ │ │ │ │ │ │ │ │ │ │ │детализацией рассматриваемых │ │ │ │ │ │ │ │ │ │ │ │информационных активов │ │ │ │ │ │ │ │ │ │ │ │(типов информационных активов)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.12 │Корректируются ли внутренние │ обязательный │ │ │ │ │ │ │ 0,0510 │ │ │ │документы, регламентирующие │ │ │ │ │ │ │ │ │ │ │ │деятельность в области обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │ │на основе: │ │ │ │ │ │ │ │ │ │ │ │- законодательства Российской │ │ │ │ │ │ │ │ │ │ │ │Федерации; │ │ │ │ │ │ │ │ │ │ │ │- комплекса БР ИББС, в частности, │ │ │ │ │ │ │ │ │ │ │ │требования 7-го и 8-го разделов │ │ │ │ │ │ │ │ │ │ │ │стандарта СТО БР ИББС-1.0; │ │ │ │ │ │ │ │ │ │ │ │- нормативных актов и предписаний │ │ │ │ │ │ │ │ │ │ │ │регулирующих и надзорных органов; │ │ │ │ │ │ │ │ │ │ │ │- договорных требований организации со│ │ │ │ │ │ │ │ │ │ │ │сторонними организациями; │ │ │ │ │ │ │ │ │ │ │ │- результатов оценки рисков, │ │ │ │ │ │ │ │ │ │ │ │выполненной с соответствующей уровню │ │ │ │ │ │ │ │ │ │ │ │разрабатываемого документа │ │ │ │ │ │ │ │ │ │ │ │детализацией рассматриваемых │ │ │ │ │ │ │ │ │ │ │ │информационных активов │ │ │ │ │ │ │ │ │ │ │ │(типов информационных активов)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.13 │Содержит ли совокупность внутренних │ обязательный │ │ │ │ │ │ │ 0,0501 │ │ │ │документов, регламентирующих │ │ │ │ │ │ │ │ │ │ │ │деятельность в области обеспечения ИБ,│ │ │ │ │ │ │ │ │ │ │ │требования по обеспечению ИБ всех │ │ │ │ │ │ │ │ │ │ │ │выявленных информационных активов │ │ │ │ │ │ │ │ │ │ │ │(типов информационных активов), │ │ │ │ │ │ │ │ │ │ │ │находящихся в области действия СОИБ │ │ │ │ │ │ │ │ │ │ │ │организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.14 │Не противоречат ли документы, │ обязательный │ │ │ │ │ │ │ 0,0510 │ │ │ │регламентирующие процедуры выполнения │ │ │ │ │ │ │ │ │ │ │ │отдельных видов деятельности, │ │ │ │ │ │ │ │ │ │ │ │связанных с обеспечением ИБ, │ │ │ │ │ │ │ │ │ │ │ │положениям политики ИБ и частных │ │ │ │ │ │ │ │ │ │ │ │политик ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.15 │Детализируют ли документы, │ обязательный │ │ │ │ │ │ │ 0,0426 │ │ │ │регламентирующие процедуры выполнения │ │ │ │ │ │ │ │ │ │ │ │отдельных видов деятельности, │ │ │ │ │ │ │ │ │ │ │ │связанных с обеспечением ИБ, положения│ │ │ │ │ │ │ │ │ │ │ │политики ИБ и частных политик ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.16 │Утвержден ли руководством организации │ обязательный │ │ │ │ │ │ │ 0,0354 │ │ │ │порядок взаимодействия │ │ │ │ │ │ │ │ │ │ │ │(координирования работы) службы ИБ с │ │ │ │ │ │ │ │ │ │ │ │работниками, ответственными за │ │ │ │ │ │ │ │ │ │ │ │обеспечение ИБ в структурных │ │ │ │ │ │ │ │ │ │ │ │подразделениях организации (в случае │ │ │ │ │ │ │ │ │ │ │ │наличия в структурных подразделениях │ │ │ │ │ │ │ │ │ │ │ │организации работников, ответственных │ │ │ │ │ │ │ │ │ │ │ │за обеспечение ИБ)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.17 │Определены ли в составе документов, │ обязательный │ │ │ │ │ │ │ 0,0426 │ │ │ │регламентирующих деятельность в │ │ │ │ │ │ │ │ │ │ │ │области обеспечения ИБ, перечень │ │ │ │ │ │ │ │ │ │ │ │свидетельств выполнения указанной │ │ │ │ │ │ │ │ │ │ │ │деятельности и ответственность │ │ │ │ │ │ │ │ │ │ │ │работников организации за выполнение │ │ │ │ │ │ │ │ │ │ │ │этой деятельности? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.18 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0443 │ │ │ │процедуры выделения и распределения │ │ │ │ │ │ │ │ │ │ │ │ролей в области обеспечения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.19 │Определен ли в документах организации │ обязательный │ │ │ │ │ │ │ 0,0406 │ │ │ │порядок разработки, поддержки, │ │ │ │ │ │ │ │ │ │ │ │пересмотра и контроля исполнения │ │ │ │ │ │ │ │ │ │ │ │внутренних документов, │ │ │ │ │ │ │ │ │ │ │ │регламентирующих деятельность по │ │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.20 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0382 │ │ │ │роли по разработке, поддержке, │ │ │ │ │ │ │ │ │ │ │ │пересмотру и контролю исполнения │ │ │ │ │ │ │ │ │ │ │ │внутренних документов, │ │ │ │ │ │ │ │ │ │ │ │регламентирующих деятельность по │ │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤ │ M15.21 │Назначены ли ответственные за │ обязательный │ │ │ │ │ │ │ 0,0393 │ │ │ │выполнение ролей по разработке, │ │ │ │ │ │ │ │ │ │ │ │поддержке, пересмотру и контролю │ │ │ │ │ │ │ │ │ │ │ │исполнения внутренних документов, │ │ │ │ │ │ │ │ │ │ │ │регламентирующих деятельность по │ │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ организации? │ │ │ │ │ │ │ │ │ │ ├────────────┴──────────────────────────────────────┴───────────────┴──┴────┴────┴────┴───┴────┴───────────┼─────────────┤ │Итоговая оценка группового показателя M15 │ │ └──────────────────────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M16 "Принятие руководством организации

БС РФ решений о реализации и эксплуатации СОИБ"

Групповой показатель M17 "Организация реализации планов

внедрения СОИБ"

Групповой показатель M18 "Разработка и организация

реализации программ по обучению и повышению осведомленности

в области ИБ"

Групповой показатель M19 "Организация обнаружения

и реагирования на инциденты безопасности"

Групповой показатель M20 "Организация

обеспечения непрерывности бизнеса и его восстановления

после прерываний"

Групповой показатель M21 "Мониторинг и контроль

защитных мер"

Групповой показатель M22 "Проведение самооценки ИБ"

Групповой показатель M23 "Проведение аудита ИБ"

Групповой показатель M24 "Анализ функционирования СОИБ"

Групповой показатель M25 "Анализ СОИБ со стороны

руководства организации БС РФ"

Групповой показатель M26 "Принятие решений по тактическим

улучшениям СОИБ"

Групповой показатель M27 "Принятие решений

по стратегическим улучшениям СОИБ"

Групповой показатель M28 "Оценка деятельности руководства

организации БС РФ по поддержке функционирования службы ИБ

организации БС РФ"

Групповой показатель M29 "Оценка деятельности

руководства организации БС РФ по принятию решений

о реализации и эксплуатации СОИБ"

Групповой показатель M30 "Оценка деятельности руководства

организации БС РФ по поддержке планирования СОИБ"

┌────────────┬──────────────────────────────────────┬──────────────┬──────────────────────────┬───────────┬─────────────┐ │Обозначение │ Частный показатель ИБ │Обязательность│ Оценка частного │Коэффициент│ Вычисленное │ │ частного │ │ выполнения │ показателя ИБ │значимости │ значение │ │ показателя │ │ ├───┬────┬───┬────┬───┬────┤ частного │ показателя │ │ ИБ │ │ │ 0 │0,25│0,5│0,75│ 1 │н/о │показателя │ ИБ │ │ │ │ │ │ │ │ │ │ │ ИБ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.1 │Определена ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0386 │ │ │ (аналог │и корректируется ли опись │ │ │ │ │ │ │ │ │ │ │ M12.1) │структурированных по классам │ │ │ │ │ │ │ │ │ │ │ │защищаемых информационных активов │ │ │ │ │ │ │ │ │ │ │ │(типов информационных активов - типов │ │ │ │ │ │ │ │ │ │ │ │информации)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.2 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │роли по определению/коррекции области │ │ │ │ │ │ │ │ │ │ │ M12.6) │действия СОИБ и по составлению и │ │ │ │ │ │ │ │ │ │ │ │пересмотру описи информационных │ │ │ │ │ │ │ │ │ │ │ │активов (типов информационных │ │ │ │ │ │ │ │ │ │ │ │активов), находящихся в области │ │ │ │ │ │ │ │ │ │ │ │действия СОИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.3 │Назначены ли в организации │ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │ответственные за выполнение ролей по │ │ │ │ │ │ │ │ │ │ │ M12.7) │определению/коррекции области │ │ │ │ │ │ │ │ │ │ │ │действия СОИБ и по составлению и │ │ │ │ │ │ │ │ │ │ │ │пересмотру описи информационных │ │ │ │ │ │ │ │ │ │ │ │активов (типов информационных │ │ │ │ │ │ │ │ │ │ │ │активов), находящихся в области │ │ │ │ │ │ │ │ │ │ │ │действия СОИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.4 │Принята ли в организации и │ обязательный │ │ │ │ │ │ │ 0,0386 │ │ │ (аналог │корректируется ли методика оценки │ │ │ │ │ │ │ │ │ │ │ M13.1) │рисков нарушения ИБ/подход к оценке │ │ │ │ │ │ │ │ │ │ │ │рисков нарушения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.5 │Определены ли в организации критерии │ обязательный │ │ │ │ │ │ │ 0,0386 │ │ │ (аналог │принятия рисков нарушения ИБ и уровень│ │ │ │ │ │ │ │ │ │ │ M13.2) │допустимого риска нарушения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.6 │Определяет ли порядок оценки рисков │ обязательный │ │ │ │ │ │ │ 0,0345 │ │ │ (аналог │нарушения ИБ необходимые процедуры │ │ │ │ │ │ │ │ │ │ │ M13.4) │оценки рисков нарушения ИБ, а также │ │ │ │ │ │ │ │ │ │ │ │последовательность их выполнения? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.7 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │роли, связанные с деятельностью по │ │ │ │ │ │ │ │ │ │ │ M13.9) │определению/коррекции методики оценки │ │ │ │ │ │ │ │ │ │ │ │рисков нарушения ИБ/подхода к оценке │ │ │ │ │ │ │ │ │ │ │ │риска нарушения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.8 │Назначены ли ответственные за │ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │выполнение ролей, связанных с │ │ │ │ │ │ │ │ │ │ │ M13.10) │деятельностью по определению/коррекции│ │ │ │ │ │ │ │ │ │ │ │методики оценки рисков нарушения ИБ/ │ │ │ │ │ │ │ │ │ │ │ │подхода к оценке риска нарушения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.9 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0345 │ │ │ (аналог │роли по оценке рисков нарушения ИБ? │ │ │ │ │ │ │ │ │ │ │ M13.11) │ │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.10 │Назначены ли ответственные за │ обязательный │ │ │ │ │ │ │ 0,0345 │ │ │ (аналог │выполнение ролей по оценке рисков │ │ │ │ │ │ │ │ │ │ │ M13.12) │нарушения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.11 │Утверждены ли руководством организации│ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │планы обработки рисков нарушения ИБ? │ │ │ │ │ │ │ │ │ │ │ M14.3) │ │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.12 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0345 │ │ │ (аналог │роли по разработке планов обработки │ │ │ │ │ │ │ │ │ │ │ M14.5) │рисков нарушения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.13 │Назначены ли ответственные за │ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │выполнение ролей по разработке планов │ │ │ │ │ │ │ │ │ │ │ M14.6) │обработки рисков нарушения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.14 │Разработана ли политика ИБ │ обязательный │ │ │ │ │ │ │ 0,0408 │ │ │ (аналог │организации? Утверждена ли политика ИБ│ │ │ │ │ │ │ │ │ │ │ M15.2) │руководством? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.15 │Корректируется ли политика ИБ │ обязательный │ │ │ │ │ │ │ 0,0386 │ │ │ (аналог │организации? │ │ │ │ │ │ │ │ │ │ │ M15.3) │ │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.16 │Разработаны ли частные политики ИБ │ обязательный │ │ │ │ │ │ │ 0,0408 │ │ │ (аналог │организации? │ │ │ │ │ │ │ │ │ │ │ M15.4) │ │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.17 │Корректируются ли частные политики ИБ │ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │организации? │ │ │ │ │ │ │ │ │ │ │ M15.5) │ │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.18 │Определены ли в политике ИБ (частных │ обязательный │ │ │ │ │ │ │ 0,0386 │ │ │ (аналог │политиках ИБ) организации: │ │ │ │ │ │ │ │ │ │ │ M15.9) │- цели и задачи обеспечения ИБ; │ │ │ │ │ │ │ │ │ │ │ │основные области обеспечения ИБ; │ │ │ │ │ │ │ │ │ │ │ │- типы основных защищаемых │ │ │ │ │ │ │ │ │ │ │ │информационных активов; │ │ │ │ │ │ │ │ │ │ │ │- модели угроз и нарушителей; │ │ │ │ │ │ │ │ │ │ │ │- совокупность правил, требований и │ │ │ │ │ │ │ │ │ │ │ │руководящих принципов в области ИБ; │ │ │ │ │ │ │ │ │ │ │ │- основные требования к обеспечению │ │ │ │ │ │ │ │ │ │ │ │ИБ; │ │ │ │ │ │ │ │ │ │ │ │- принципы противодействия угрозам ИБ │ │ │ │ │ │ │ │ │ │ │ │по отношению к типам основных │ │ │ │ │ │ │ │ │ │ │ │защищаемых информационных активов; │ │ │ │ │ │ │ │ │ │ │ │- основные принципы повышения уровня │ │ │ │ │ │ │ │ │ │ │ │осознания и осведомленности в области │ │ │ │ │ │ │ │ │ │ │ │ИБ; │ │ │ │ │ │ │ │ │ │ │ │- принципы реализации и контроля │ │ │ │ │ │ │ │ │ │ │ │выполнения требований политики ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.19 │Корректируются ли в политике ИБ │ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │(частных политиках ИБ) организации: │ │ │ │ │ │ │ │ │ │ │ M15.10) │- цели и задачи обеспечения ИБ; │ │ │ │ │ │ │ │ │ │ │ │основные области обеспечения ИБ; │ │ │ │ │ │ │ │ │ │ │ │- типы основных защищаемых │ │ │ │ │ │ │ │ │ │ │ │информационных активов; │ │ │ │ │ │ │ │ │ │ │ │- модели угроз и нарушителей; │ │ │ │ │ │ │ │ │ │ │ │- совокупность правил, требований и │ │ │ │ │ │ │ │ │ │ │ │руководящих принципов в области ИБ; │ │ │ │ │ │ │ │ │ │ │ │- основные требования к обеспечению │ │ │ │ │ │ │ │ │ │ │ │ИБ; │ │ │ │ │ │ │ │ │ │ │ │- принципы противодействия угрозам ИБ │ │ │ │ │ │ │ │ │ │ │ │по отношению к типам основных │ │ │ │ │ │ │ │ │ │ │ │защищаемых информационных активов; │ │ │ │ │ │ │ │ │ │ │ │- основные принципы повышения уровня │ │ │ │ │ │ │ │ │ │ │ │осознания и осведомленности в области │ │ │ │ │ │ │ │ │ │ │ │ИБ; │ │ │ │ │ │ │ │ │ │ │ │- принципы реализации и контроля │ │ │ │ │ │ │ │ │ │ │ │выполнения требований политики ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.20 │Разрабатываются ли внутренние │ обязательный │ │ │ │ │ │ │ 0,0408 │ │ │ (аналог │документы, регламентирующие │ │ │ │ │ │ │ │ │ │ │ M15.11) │деятельность в области обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │ │на основе: │ │ │ │ │ │ │ │ │ │ │ │- законодательства Российской │ │ │ │ │ │ │ │ │ │ │ │Федерации; │ │ │ │ │ │ │ │ │ │ │ │- комплекса БР ИББС, в частности, │ │ │ │ │ │ │ │ │ │ │ │требования 7-го и 8-го разделов │ │ │ │ │ │ │ │ │ │ │ │стандарта СТО БР ИББС-1.0; │ │ │ │ │ │ │ │ │ │ │ │- нормативных актов и предписаний │ │ │ │ │ │ │ │ │ │ │ │регулирующих и надзорных органов; │ │ │ │ │ │ │ │ │ │ │ │- договорных требований организации со│ │ │ │ │ │ │ │ │ │ │ │сторонними организациями; │ │ │ │ │ │ │ │ │ │ │ │- результатов оценки рисков, │ │ │ │ │ │ │ │ │ │ │ │выполненной с соответствующей уровню │ │ │ │ │ │ │ │ │ │ │ │разрабатываемого документа │ │ │ │ │ │ │ │ │ │ │ │детализацией рассматриваемых │ │ │ │ │ │ │ │ │ │ │ │информационных активов │ │ │ │ │ │ │ │ │ │ │ │(типов информационных активов)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.21 │Корректируются ли внутренние │ обязательный │ │ │ │ │ │ │ 0,0386 │ │ │ (аналог │документы, регламентирующие │ │ │ │ │ │ │ │ │ │ │ M15.12) │деятельность в области обеспечения ИБ │ │ │ │ │ │ │ │ │ │ │ │на основе: │ │ │ │ │ │ │ │ │ │ │ │- законодательства Российской │ │ │ │ │ │ │ │ │ │ │ │Федерации; │ │ │ │ │ │ │ │ │ │ │ │- комплекса БР ИББС, в частности, │ │ │ │ │ │ │ │ │ │ │ │требования 7-го и 8-го разделов │ │ │ │ │ │ │ │ │ │ │ │стандарта СТО БР ИББС-1.0; │ │ │ │ │ │ │ │ │ │ │ │- нормативных актов и предписаний │ │ │ │ │ │ │ │ │ │ │ │регулирующих и надзорных органов; │ │ │ │ │ │ │ │ │ │ │ │- договорных требований организации со│ │ │ │ │ │ │ │ │ │ │ │сторонними организациями; │ │ │ │ │ │ │ │ │ │ │ │- результатов оценки рисков, │ │ │ │ │ │ │ │ │ │ │ │выполненной с соответствующей уровню │ │ │ │ │ │ │ │ │ │ │ │разрабатываемого документа │ │ │ │ │ │ │ │ │ │ │ │детализацией рассматриваемых │ │ │ │ │ │ │ │ │ │ │ │информационных активов │ │ │ │ │ │ │ │ │ │ │ │(типов информационных активов)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.22 │Утвержден ли руководством организации │ обязательный │ │ │ │ │ │ │ 0,0345 │ │ │ (аналог │порядок взаимодействия │ │ │ │ │ │ │ │ │ │ │ M15.16) │(координирования работы) службы ИБ с │ │ │ │ │ │ │ │ │ │ │ │работниками, ответственными за │ │ │ │ │ │ │ │ │ │ │ │обеспечение ИБ в структурных │ │ │ │ │ │ │ │ │ │ │ │подразделениях организации (в случае │ │ │ │ │ │ │ │ │ │ │ │наличия в структурных подразделениях │ │ │ │ │ │ │ │ │ │ │ │организации работников, ответственных │ │ │ │ │ │ │ │ │ │ │ │за обеспечение ИБ)? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.23 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0345 │ │ │ (аналог │процедуры выделения и распределения │ │ │ │ │ │ │ │ │ │ │ M15.18) │ролей в области обеспечения ИБ? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.24 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0386 │ │ │ (аналог │роли по разработке, поддержке, │ │ │ │ │ │ │ │ │ │ │ M15.20) │пересмотру и контролю исполнения │ │ │ │ │ │ │ │ │ │ │ │внутренних документов, │ │ │ │ │ │ │ │ │ │ │ │регламентирующих деятельность по │ │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.25 │Назначены ли ответственные за │ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │выполнение ролей по разработке, │ │ │ │ │ │ │ │ │ │ │ M15.21) │поддержке, пересмотру и контролю │ │ │ │ │ │ │ │ │ │ │ │исполнения внутренних документов, │ │ │ │ │ │ │ │ │ │ │ │регламентирующих деятельность по │ │ │ │ │ │ │ │ │ │ │ │обеспечению ИБ организации? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.26 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │роли, связанные с реализацией планов │ │ │ │ │ │ │ │ │ │ │ M17.3) │обработки рисков нарушения ИБ и с │ │ │ │ │ │ │ │ │ │ │ │реализацией требуемых защитных мер? │ │ │ │ │ │ │ │ │ │ ├────────────┼──────────────────────────────────────┼──────────────┼───┼────┼───┼────┼───┼────┼───────────┼─────────────┤ │ M30.27 │Назначены ли ответственные за │ обязательный │ │ │ │ │ │ │ 0,0364 │ │ │ (аналог │выполнение ролей, связанных с │ │ │ │ │ │ │ │ │ │ │ M17.4) │реализацией планов обработки рисков │ │ │ │ │ │ │ │ │ │ │ │нарушения ИБ и с реализацией требуемых│ │ │ │ │ │ │ │ │ │ │ │защитных мер? │ │ │ │ │ │ │ │ │ │ ├────────────┴──────────────────────────────────────┴──────────────┴───┴────┴───┴────┴───┴────┴───────────┼─────────────┤ │Итоговая оценка группового показателя M30 │ │ └─────────────────────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘

Групповой показатель M31 "Оценка деятельности руководства

организации БС РФ по поддержке реализации СОИБ"

Групповой показатель M32 "Оценка деятельности руководства

организации БС РФ по поддержке проверки СОИБ"

Групповой показатель M33 "Оценка деятельности руководства

организации БС РФ по анализу СОИБ"

Групповой показатель M34 "Оценка деятельности руководства

по поддержке совершенствования СОИБ"

Приложение Б

(обязательное)

Форма листов для сбора свидетельств аудита ИБ ┌───────────┬─────────────────────────┬─────────────┬────────────┬────────┐ │Обозначение│Источники свидетельств и │ Кем │ Подпись │ Дата │ │ частного │ свидетельства аудита ИБ │предоставлены│сотрудника/ │ │ │показателя │ (документы, результаты │свидетельства│руководителя│ │ │ ИБ │ опроса или наблюдений) │ аудита ИБ │ │ │ ├───────────┼─────────────────────────┼─────────────┼────────────┼────────┤ │ │ │ │ │ │ ├───────────┼─────────────────────────┼─────────────┼────────────┼────────┤ │ │ │ │ │ │ ├───────────┼─────────────────────────┼─────────────┼────────────┼────────┤ │ │ │ │ │ │ ├───────────┼─────────────────────────┼─────────────┼────────────┼────────┤ │ │ │ │ │ │ ├───────────┼─────────────────────────┼─────────────┼────────────┼────────┤ │ │ │ │ │ │ └───────────┴─────────────────────────┴─────────────┴────────────┴────────┘ _____________________ (подпись) _____________________ (подпись) _____________________ (подпись)

Приложение В

(обязательное)

УТОЧНЯЮЩИЕ ВОПРОСЫ ЧАСТНЫХ ПОКАЗАТЕЛЕЙ ИБ

ДЛЯ ОЦЕНКИ СТЕПЕНИ ВЫПОЛНЕНИЯ ТРЕБОВАНИЙ СТО БР ИББС-1.0,

РЕГЛАМЕНТИРУЮЩИХ ЗАЩИТУ ПЕРСОНАЛЬНЫХ ДАННЫХ В ИСПДН

Таблица 1. Уточняющие вопросы частных показателей ИБ

┌────────┬─────────┬───────────────────────────────────────┬──────────────┐ │N уточ- │ Пункт │ Уточняющий вопрос │ Частный │ │няющего │ РС БР │ │ показатель │ │вопроса │ИББС-2.3 │ │ СТО БР │ │ │ │ │ ИББС-1.2 │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 1 │ 5.2 │ Отнесена ли каждая информационная │M10.2, M10.3, │ │ │ │система персональных данных (ИСПДн) │M12.2, M12.3, │ │ │ │организации к одному из следующих │M12.4 │ │ │ │классов - ИСПДн-С, ИСПДн-Б, ИСПДн-И, │ │ │ │ │ИСПДн-Д < * > ? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 2 │ 6.1.1 │ Реализуются ли требования по │M2.1, M2.2, │ │ │ │обеспечению безопасности персональных │M2.3, M2.4 │ │ │ │данных в ИСПДн комплексом │ │ │ │ │организационных, технологических, │ │ │ │ │технических и программных мер, средств │ │ │ │ │и механизмов защиты информации? │ │ │ │ │ Осуществляется ли реализация │ │ │ │ │требований и (или) организуется ли │ │ │ │ │выполнение требований по обеспечению │ │ │ │ │безопасности персональных данных │ │ │ │ │структурным подразделением или │ │ │ │ │должностным лицом (работником) │ │ │ │ │организации, ответственным за │ │ │ │ │обеспечение безопасности персональных │ │ │ │ │данных, либо на договорной основе │ │ │ │ │организацией - контрагентом │ │ │ │ │организации, имеющей лицензию на │ │ │ │ │деятельность по технической защите │ │ │ │ │конфиденциальной информации? │ │ │ │ │ Допускается возложение │ │ │ │ │ответственности за организацию работы │ │ │ │ │по обеспечению безопасности │ │ │ │ │персональных данных на существующее в │ │ │ │ │организации подразделение (например, │ │ │ │ │на службу ИБ). │ │ │ │ │ Осуществляется ли реализация │ │ │ │ │требований по обеспечению безопасности │ │ │ │ │ПДн по согласованию и под контролем │ │ │ │ │службы ИБ организации? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 3 │ 6.1.2 │ Включает ли создание ИСПДн │M2.1, M2.2, │ │ │ │организации разработку и согласование │M2.3, M2.5, │ │ │ │(утверждение) предусмотренной │M2.6, M8.3, │ │ │ │техническим заданием организационно- │M8.5, M15.6, │ │ │ │распорядительной, проектной и │M15.7 │ │ │ │эксплуатационной документации на │ │ │ │ │создаваемую систему (в документации │ │ │ │ │должны быть отражены вопросы │ │ │ │ │обеспечения безопасности обрабатываемых│ │ │ │ │персональных данных)? │ │ │ │ │ Осуществляются ли разработка │ │ │ │ │концепций, технических заданий, │ │ │ │ │проектирование, создание и │ │ │ │ │тестирование, приемка и ввод в действие│ │ │ │ │ИСПДн по согласованию и под контролем │ │ │ │ │структурного подразделения или │ │ │ │ │должностного лица (работника) │ │ │ │ │организации, ответственного за │ │ │ │ │обеспечение безопасности персональных │ │ │ │ │данных, и службы ИБ организации? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 4 │ 6.1.3 │ Защищены ли от воздействий │M4.1, M4.5 │ │ │ │вредоносного кода все информационные │ │ │ │ │активы, принадлежащие ИСПДн │ │ │ │ │организации? │ │ │ │ │ Определены ли в организации и │ │ │ │ │зафиксированы ли документально │ │ │ │ │требования по обеспечению безопасности │ │ │ │ │персональных данных средствами │ │ │ │ │антивирусной защиты и порядок │ │ │ │ │проведения контроля реализации этих │ │ │ │ │требований в соответствии с │ │ │ │ │требованиями пункта 7.5 СТО БР │ │ │ │ │ИББС-1.0? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 5 │ 6.1.4 │ Определена ли в организации система │M3.5, M3.6, │ │ │ │контроля доступа, позволяющая │M3.7, M3.8 │ │ │ │осуществлять контроль доступа к │ │ │ │ │коммуникационным портам, устройствам │ │ │ │ │ввода-вывода информации, съемным │ │ │ │ │машинным носителям и внешним │ │ │ │ │накопителям информации ИСПДн? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 6 │ 6.1.5 │ Действуют ли работники, │M1.1, M1.3, │ │ │ │осуществляющие обработку персональных │M1.4, M1.19, │ │ │ │данных в ИСПДн, в соответствии с │M16.1, M29.1 │ │ │ │инструкцией (руководством, регламентом │ │ │ │ │и т.п.), входящей в состав │ │ │ │ │эксплуатационной документации на ИСПДн,│ │ │ │ │и соблюдают ли работники требования │ │ │ │ │документов организации по обеспечению │ │ │ │ │ИБ? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 7 │ 6.1.6 │ Возложены ли приказами │M1.1, M1.3, │ │ │ │(распоряжениями) обязанности по │M1.4, M8.4, │ │ │ │администрированию средств защиты и │M8.5, M15.6, │ │ │ │механизмов защиты, реализующих │M15.7, M15.8 │ │ │ │требования по обеспечению ИБ ИСПДн │ │ │ │ │организации, на администраторов │ │ │ │ │информационной безопасности ИСПДн? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 8 │ 6.1.7 │ Определен ли порядок действий │M1.1, M1.3, │ │ │ │администратора информационной │M1.4, M1.13, │ │ │ │безопасности ИСПДн и персонала, занятых│M1.14, │ │ │ │в процессе обработки персональных │M2.5, M2.6, │ │ │ │данных, инструкциями (руководствами), │M2.11, M2.12, │ │ │ │которые готовятся разработчиком ИСПД в │M3.2, M3.11, │ │ │ │составе эксплуатационной документации │M3.12, M3.14, │ │ │ │на ИСПДн? │M3.15, M3.16, │ │ │ │ Выполняются ли следующие требования к│M3.17, M8.5, │ │ │ │таким инструкциям (руководствам): │M8.12, M15.6, │ │ │ │ - устанавливают требования к │M15.7, M15.8, │ │ │ │квалификации администратора │M21.1, M21.7, │ │ │ │информационной безопасности и персонала│M21.8, M32.1, │ │ │ │в области защиты информации, а также │M32.2 │ │ │ │актуальный перечень защищаемых объектов│ │ │ │ │и правила его обновления; │ │ │ │ │ - содержат в полном объеме актуальные│ │ │ │ │(по времени) данные о полномочиях │ │ │ │ │пользователей; │ │ │ │ │ - содержат данные о технологии │ │ │ │ │обработки информации в объеме, │ │ │ │ │необходимом для администратора │ │ │ │ │информационной безопасности; │ │ │ │ │ - устанавливают порядок и │ │ │ │ │периодичность анализа журналов │ │ │ │ │регистрации событий (архивов журналов)?│ │ │ │ │ Определены ли в эксплуатационной │ │ │ │ │документации на ИСПДн параметры │ │ │ │ │конфигурации средств защиты и │ │ │ │ │механизмов защиты информации от НСД, │ │ │ │ │используемых в зоне ответственности │ │ │ │ │администратора информационной │ │ │ │ │безопасности? │ │ │ │ │ Установлены ли в эксплуатационной │ │ │ │ │документации или регламентированы ли │ │ │ │ │внутренним документом организации │ │ │ │ │порядок и периодичность проверок │ │ │ │ │установленных параметров конфигурации │ │ │ │ │(при этом проверки должны проводиться │ │ │ │ │не реже чем раз в год)? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 9 │ 6.1.8 │ Определен ли в организации и │M3.18, M3.19, │ │ │ │зафиксирован ли документально порядок │M3.20, M11.9, │ │ │ │доступа в помещения, в которых │M28.9 │ │ │ │размещаются технические средства ИСПДн │ │ │ │ │и хранятся носители персональных │ │ │ │ │данных, предусматривающий контроль │ │ │ │ │доступа в помещения посторонних лиц и │ │ │ │ │наличие препятствий для │ │ │ │ │несанкционированного проникновения в │ │ │ │ │помещения? │ │ │ │ │ Разработан ли указанный порядок │ │ │ │ │структурным подразделением или │ │ │ │ │должностным лицом (работником) │ │ │ │ │организации, ответственным за │ │ │ │ │обеспечение режима физической │ │ │ │ │безопасности организации БС РФ и │ │ │ │ │согласован ли структурным │ │ │ │ │подразделением или должностным лицом │ │ │ │ │(работником) организации БС РФ, │ │ │ │ │ответственным за обеспечение │ │ │ │ │безопасности персональных данных, и со │ │ │ │ │службой ИБ организации? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 10 │ 6.1.9 │ Запрещено ли организационно- │M15.6, M15.8, │ │ │ │техническими мерами в помещениях, в │M21.1, M21.7, │ │ │ │которых размещаются технические │M32.1 │ │ │ │средства ИСПДн, несанкционированное и │ │ │ │ │(или) нерегистрируемое (бесконтрольное)│ │ │ │ │копирование персональных данных, в том │ │ │ │ │числе с использованием отчуждаемых │ │ │ │ │носителей информации, мобильных │ │ │ │ │устройств копирования и переноса │ │ │ │ │информации, коммуникационных портов и │ │ │ │ │устройств ввода-вывода, реализующих │ │ │ │ │различные интерфейсы (включая │ │ │ │ │беспроводные), запоминающих устройств │ │ │ │ │мобильных средств (например, ноутбуков,│ │ │ │ │карманных персональных компьютеров, │ │ │ │ │смартфонов, мобильных телефонов), а │ │ │ │ │также устройств фото- и видеосъемки? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 11 │ 6.2.1 │ Регламентируются ли в проектной и │M2.1, M8.6, │ │ │ │эксплуатационной документации процессы │M15.6, M15.7 │ │ │ │обработки персональных данных, а также │ │ │ │ │порядок установки, настройки, │ │ │ │ │эксплуатации и восстановления │ │ │ │ │необходимых технических и программных │ │ │ │ │средств? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 12 │ 6.2.2 │ Обеспечиваются ли идентификация и │M3.5, M3.6, │ │ │ │аутентификация (проверка подлинности) │M3.7, M3.8, │ │ │ │субъекта доступа при входе в ИСПДн по │M15.6, M15.8 │ │ │ │идентификатору (коду) и периодически │ │ │ │ │обновляемому паролю длиной не менее │ │ │ │ │шести буквенно-цифровых символов? │ │ │ │ │ Ограничено ли при наличии технической│ │ │ │ │возможности количество последовательных│ │ │ │ │неудачных попыток ввода пароля (от 3 до│ │ │ │ │5 попыток)? │ │ │ │ │ Блокируют ли при превышении │ │ │ │ │указанного количества средства защиты и│ │ │ │ │механизм защиты возможность дальнейшего│ │ │ │ │ввода пароля, включая правильное │ │ │ │ │значение пароля, до вмешательства │ │ │ │ │администратора информационной │ │ │ │ │безопасности? │ │ │ │ │ Регламентируются ли порядок │ │ │ │ │формирования и смены паролей, а также │ │ │ │ │порядок контроля исполнения этих │ │ │ │ │процедур разработчиком ИСПДн в │ │ │ │ │эксплуатационной документации в │ │ │ │ │инструкциях (руководствах) │ │ │ │ │администраторов информационной │ │ │ │ │безопасности? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 13 │ 6.2.3 │ Осуществляется ли передача │M3.9, M5.1, │ │ │ │персональных данных только при условии │M5.15, M5.23, │ │ │ │обеспечения их целостности с помощью │M11.9, M28.9 │ │ │ │защитных мер, механизмов и средств, │ │ │ │ │применяемых по согласованию со │ │ │ │ │структурным подразделением или │ │ │ │ │должностным лицом (работником) │ │ │ │ │организации, ответственным за │ │ │ │ │обеспечение безопасности персональных │ │ │ │ │данных? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 14 │ 6.3.2 │ Обеспечивается ли выполнение функций │M2.1, M3.4 │ │ │ │обеспечения безопасности персональных │ │ │ │ │данных в ИСПДн средствами защиты │ │ │ │ │информации, прошедшими в установленном │ │ │ │ │порядке процедуру оценки соответствия, │ │ │ │ │а также комплексом встроенных │ │ │ │ │механизмов защиты электронных │ │ │ │ │вычислительных машин (ЭВМ), │ │ │ │ │операционных систем (ОС), систем │ │ │ │ │управления базами данных (СУБД), │ │ │ │ │прикладного программного обеспечения │ │ │ │ │(ПО)? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 15 │ 6.3.3 │ Выполнены ли разработчиком ИСПДн на │M3.4, M11.9, │ │ │ │стадии ввода в действие настройки │M21.1, M28.9 │ │ │ │средств и механизмов обеспечения │ │ │ │ │безопасности, не допускающие │ │ │ │ │несанкционированного изменения │ │ │ │ │пользователем предоставленных ему │ │ │ │ │полномочий? │ │ │ │ │ Определен ли разработчиком ИСПДн │ │ │ │ │порядок постоянного контроля │ │ │ │ │фактического состояния настроек средств│ │ │ │ │и механизмов обеспечения безопасности │ │ │ │ │на предмет их соответствия │ │ │ │ │установленным правилам? │ │ │ │ │ Согласован ли указанный порядок со │ │ │ │ │структурным подразделением или │ │ │ │ │должностным лицом (работником) │ │ │ │ │организации, ответственным за │ │ │ │ │обеспечение безопасности персональных │ │ │ │ │данных, и согласован ли со службой ИБ │ │ │ │ │организации? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 16 │ 6.3.4 │ Выполняется ли в обязательном порядке│M3.11, M3.12 │ │ │ │регистрация входа в ИСПДн (выхода из │ │ │ │ │ИСПДн) субъектов доступа? Указываются │ │ │ │ │ли в журнале регистрации событий, │ │ │ │ │который ведется в электронном виде │ │ │ │ │ИСПДн, следующие параметры: │ │ │ │ │ - дата и время входа в систему │ │ │ │ │(выхода из системы) субъекта доступа; │ │ │ │ │ - идентификатор субъекта, │ │ │ │ │предъявленный при запросе доступа; │ │ │ │ │ - результат попытки входа: успешная │ │ │ │ │или неуспешная (несанкционированная); │ │ │ │ │ - идентификатор (адрес) устройства │ │ │ │ │(компьютера), используемого для входа в│ │ │ │ │систему? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 17 │ 6.3.6 │ Определен ли в организации и │M2.16, M2.17, │ │ │ │зафиксирован ли документально порядок │M3.1, M3.11, │ │ │ │постановки на учет и снятия с учета │M3.12, M8.1, │ │ │ │машинных носителей, предназначенных для│M8.6, M8.7, │ │ │ │размещения персональных данных? │M12.2, M12.3, │ │ │ │ Проводится ли снятие с учета машинных│M17.2 │ │ │ │носителей, на которых были размещены │ │ │ │ │персональные данные, по акту путем │ │ │ │ │стирания с них информации средствами │ │ │ │ │гарантированного стирания информации │ │ │ │ │или по акту путем их уничтожения? │ │ │ │ │ Регламентируется ли разработчиком │ │ │ │ │ИСПДн в эксплуатационной документации │ │ │ │ │на ИСПДн процедура стирания информации │ │ │ │ │в зависимости от применяемого средства │ │ │ │ │гарантированного стирания? │ │ │ │ │ Осуществляется ли (при наличии │ │ │ │ │технической возможности) очистка │ │ │ │ │освобождаемых областей памяти на │ │ │ │ │носителях, ранее использованных для │ │ │ │ │хранения персональных данных? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 18 │ 6.3.7 │ Определены ли в соответствии с │M2.13, M2.14, │ │ │ │требованиями пункта 7.9.7 СТО БР ИББС- │M8.9, M8.10 │ │ │ │1.0 и зафиксированы ли документально │ │ │ │ │состав и назначение ПО ИСПДн? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 19 │ 6.3.8 │ Регламентирован ли порядок внесения │M2.1, M2.13, │ │ │ │изменений в установленное ПО ИСПДн, │M2.14, M15.6, │ │ │ │включая контроль действий программистов│M15.7, M15.8 │ │ │ │в процессе модификации ПО? │ │ │ │ │ Учтены ли эталонные копии ПО, │ │ │ │ │регламентирован ли доступ к ним? │ │ │ │ │ Готовятся ли разработчиком ИСПДн │ │ │ │ │соответствующие регламенты в виде │ │ │ │ │инструкций, руководств и включаются ли │ │ │ │ │в эксплуатационную документацию на │ │ │ │ │ИСПДн? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 20 │ 6.3.9 │ Подлежат ли резервному копированию │M2.13, M2.14, │ │ │ │все программные средства, архивы, │M8.13, M20.3, │ │ │ │журналы, информационные ресурсы │M20.5 │ │ │ │(данные), используемые и создаваемые в │ │ │ │ │процессе эксплуатации ИСПДн? │ │ │ │ │ Предусматривают ли средства │ │ │ │ │восстановления функций обеспечения │ │ │ │ │безопасности персональных данных в │ │ │ │ │ИСПДн ведение не менее двух независимых│ │ │ │ │копий программных средств? │ │ │ │ │ Регламентирован ли порядок создания и│ │ │ │ │сопровождения резервных копий, │ │ │ │ │включающий способ и периодичность │ │ │ │ │копирования, процедуры создания, учета,│ │ │ │ │хранения, использования (для │ │ │ │ │восстановления) и уничтожения резервных│ │ │ │ │копий, разработчиком ИСПДн в │ │ │ │ │эксплуатационной документации на ИСПДн?│ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 21 │ 6.3.10 │ Осуществляется ли (в случае нештатной│M1.1, M1.3, │ │ │ │ситуации) восстановление функций │M1.4, M2.5, │ │ │ │обеспечения безопасности персональных │M2.6, M2.13, │ │ │ │данных в ИСПДн администратором ИСПДн с │M8.4, M8.5, │ │ │ │обязательным привлечением │M8.13, M20.2 │ │ │ │администратора информационной │ │ │ │ │безопасности ИСПДн (при необходимости -│ │ │ │ │с привлечением специалистов │ │ │ │ │структурного подразделения или │ │ │ │ │должностного лица (работника) │ │ │ │ │организации, ответственного за │ │ │ │ │обеспечение безопасности персональных │ │ │ │ │данных, и службы ИБ организации)? │ │ │ │ │ Регламентирована ли разработчиком │ │ │ │ │ИСПДн в эксплуатационной документации │ │ │ │ │на ИСПДн процедура восстановления? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 22 │ 6.3.11 │ Осуществляется ли подключение ИСПДн к│M5.1, M5.15, │ │ │ │ИСПДн другого класса или к сети │M5.23 │ │ │ │Интернет с использованием средств │ │ │ │ │межсетевого экранирования (межсетевых │ │ │ │ │экранов), которые обеспечивают │ │ │ │ │выполнение следующих функций: │ │ │ │ │- фильтрацию на сетевом уровне для │ │ │ │ │каждого сетевого пакета независимо │ │ │ │ │(решение о фильтрации принимается на │ │ │ │ │основе сетевых адресов отправителя и │ │ │ │ │получателя или на основе других │ │ │ │ │эквивалентных атрибутов); │ │ │ │ │- идентификацию и аутентификацию │ │ │ │ │администратора межсетевого экрана при │ │ │ │ │его локальных запросах на доступ по │ │ │ │ │идентификатору (коду) и паролю условно-│ │ │ │ │постоянного действия; │ │ │ │ │- регистрацию входа (выхода) │ │ │ │ │администратора межсетевого экрана в │ │ │ │ │систему (из системы) либо загрузки и │ │ │ │ │инициализации системы и ее программного│ │ │ │ │останова (регистрация выхода из системы│ │ │ │ │не проводится в моменты аппаратурного │ │ │ │ │отключения межсетевого экрана); │ │ │ │ │- возможность проверки (контроля) │ │ │ │ │целостности программной и │ │ │ │ │информационной части средства │ │ │ │ │межсетевого экранирования (в том числе │ │ │ │ │с применением внешних программных │ │ │ │ │средств, не встроенных в средство │ │ │ │ │межсетевого экранирования); │ │ │ │ │- фильтрацию пакетов служебных │ │ │ │ │протоколов, служащих для диагностики и │ │ │ │ │управления работой сетевых устройств; │ │ │ │ │- восстановление свойств межсетевого │ │ │ │ │экрана после сбоев и отказов │ │ │ │ │оборудования (в том числе с применением│ │ │ │ │внешних программных средств, не │ │ │ │ │встроенных в средство межсетевого │ │ │ │ │экранирования); │ │ │ │ │- возможность проведения регламентного │ │ │ │ │тестирования реализации правил │ │ │ │ │фильтрации, процесса идентификации и │ │ │ │ │аутентификации администратора │ │ │ │ │межсетевого экрана, процесса │ │ │ │ │регистрации действий администратора │ │ │ │ │межсетевого экрана, процесс контроля за│ │ │ │ │целостностью программной и │ │ │ │ │информационной части, процедур │ │ │ │ │восстановления (в том числе с │ │ │ │ │применением внешних программных │ │ │ │ │средств, не встроенных в средство │ │ │ │ │межсетевого экранирования)? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 23 │ 6.4.1 │ Выполняются ли для информационных │M2.5, M2.6, │ │ │ │систем обработки биометрических │M3.1, M3.3, │ │ │ │персональных данных требования, │M3.4, M3.7, │ │ │ │установленные Постановлением │M3.8, M3.9, │ │ │ │Правительства от 6 июля 2008 г. N 512 │M3.10, M3.11, │ │ │ │"Об утверждении требований к │M3.12, M6.3, │ │ │ │материальным носителям биометрических │M6.4, M8.1, │ │ │ │персональных данных и технологиям │M8.7, M11.9, │ │ │ │хранения таких данных вне │M12.2, M12.3, │ │ │ │информационных систем персональных │M17.2, M28.9 │ │ │ │данных"? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 24 │ 6.5.2 │ Осуществляется ли идентификация по │M3.4, M3.5 │ │ │ │логическим именам информационных │ │ │ │ │ресурсов (например, информационных │ │ │ │ │массивов, баз данных, файлов, │ │ │ │ │обрабатывающих их программ), содержащих│ │ │ │ │персональные данные? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 25 │ 6.5.3 │ Осуществляется ли обязательный │M3.2, M3.4, │ │ │ │контроль доступа субъектов к защищаемым│M3.5, M3.6, │ │ │ │информационным ресурсам в соответствии │M3.7, M3.8 │ │ │ │с правами доступа указанных субъектов? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 26 │ 6.5.4 │ Выполняется ли в обязательном порядке│M3.11, M3.12 │ │ │ │регистрация печати материалов, │ │ │ │ │содержащих персональные данные? │ │ │ │ │Указываются ли в журнале регистрации │ │ │ │ │событий, который ведется в электронном │ │ │ │ │виде ИСПДн, следующие параметры: │ │ │ │ │- дата и время печати; │ │ │ │ │- спецификация устройства печати │ │ │ │ │(логическое имя (номер) внешнего │ │ │ │ │устройства); │ │ │ │ │- полное наименование (вид, шифр, код) │ │ │ │ │материала; │ │ │ │ │- идентификатор субъекта доступа, │ │ │ │ │запросившего печать материала; │ │ │ │ │- объем фактически отпечатанного │ │ │ │ │материала (количество страниц, листов, │ │ │ │ │копий) и результат печати: успешная │ │ │ │ │(весь объем) или неуспешная? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 27 │ 6.5.5 │ Выполняется ли обязательная │M3.11, M3.12 │ │ │ │регистрация запуска программ и │ │ │ │ │процессов, осуществляющих доступ к │ │ │ │ │защищаемым информационным ресурсам? │ │ │ │ │ Указываются ли в журнале регистрации │ │ │ │ │событий, который ведется в электронном │ │ │ │ │виде ИСПДн, следующие параметры: │ │ │ │ │- дата и время запуска; │ │ │ │ │- имя (идентификатор) программы │ │ │ │ │(процесса, задания); │ │ │ │ │- идентификатор субъекта доступа, │ │ │ │ │запросившего программу (процесс, │ │ │ │ │задание); │ │ │ │ │- результат попытки запуска: успешная │ │ │ │ │или неуспешная (несанкционированная); │ │ │ │ │- дата и время попытки доступа к │ │ │ │ │защищаемому информационному ресурсу; │ │ │ │ │- имя (идентификатор) защищаемого │ │ │ │ │информационного ресурса; │ │ │ │ │- вид запрашиваемой операции (например,│ │ │ │ │чтение, запись, модификация, удаление);│ │ │ │ │- результат попытки доступа: успешная │ │ │ │ │или неуспешная (несанкционированная)? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 28 │ 6.5.6 │ Выполняется ли обязательная │M3.11, M3.12 │ │ │ │регистрация изменений полномочий │ │ │ │ │субъектов доступа и статуса объектов │ │ │ │ │доступа (защищаемых информационных │ │ │ │ │ресурсов)? │ │ │ │ │ Указываются ли в журнале регистрации │ │ │ │ │событий, который ведется в электронном │ │ │ │ │виде ИСПДн, следующие параметры: │ │ │ │ │ - дата и время изменения; │ │ │ │ │ - содержание изменения с указанием │ │ │ │ │идентификатора субъекта доступа, чьи │ │ │ │ │полномочия подверглись изменению, или │ │ │ │ │логического имени защищаемого │ │ │ │ │информационного ресурса, чей статус │ │ │ │ │изменился; │ │ │ │ │ - идентификатор администратора │ │ │ │ │информационной безопасности, │ │ │ │ │осуществившего изменение? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 29 │6.3.5 │ Не имеют ли ИСПДн субъектов доступа, │M1.9, M3.11, │ │ │6.5.7 │обладающих полномочиями, а при │M3.12, M8.4, │ │ │ │возможности и техническими средствами │M8.5, M15.6, │ │ │ │по уничтожению и модификации │M15.8 │ │ │ │информации, содержащейся в журналах │ │ │ │ │регистрации событий, указанных в │ │ │ │ │пунктах 6.3.4, 6.5.4 - 6.5.6 │ │ │ │ │РС БР ИББС-2.3? │ │ │ │ │ Регламентирована ли очистка журналов │ │ │ │ │регистрации событий, указанных │ │ │ │ │в пунктах 6.3.4, 6.5.4 - 6.5.6 РС БР │ │ │ │ │ИББС-2.3, разработчиком ИСПДн в │ │ │ │ │эксплуатационной документации на ИСПДн?│ │ │ │ │ Проводится ли перед очисткой журналов│ │ │ │ │регистрации событий, указанных │ │ │ │ │в пунктах 6.3.4, 6.5.4 - 6.5.6 РС БР │ │ │ │ │ИББС-2.3, архивирование содержащейся в │ │ │ │ │них информации путем перемещения │ │ │ │ │информации в соответствующий архив? │ │ │ │ │ Регистрируются ли операции по │ │ │ │ │архивированию журнала регистрации │ │ │ │ │событий, указанных в пунктах 6.3.4, │ │ │ │ │6.5.4 - 6.5.6 РС БР ИББС-2.3, с │ │ │ │ │указанием времени и идентификатора │ │ │ │ │работника, выполнившего операцию, в │ │ │ │ │качестве первой записи в действующем │ │ │ │ │журнале регистрации событий? │ │ │ │ │ Уничтожаются ли архивы журналов │ │ │ │ │регистрации событий, указанных в │ │ │ │ │пунктах 6.3.4, 6.5.4 - 6.5.6 РС БР │ │ │ │ │ИББС-2.3, только администратором │ │ │ │ │информационной безопасности, в зоне │ │ │ │ │ответственности которого находятся │ │ │ │ │данные архивы не ранее чем через три │ │ │ │ │года с момента появления последней │ │ │ │ │записи в данной архивной копии? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 30 │ 6.5.8 │ В случае, если комплекс средств │M2.1, M2.13 │ │ │ │автоматизации ИСПДн представляет собой │ │ │ │ │автономное, изолированное на физическом│ │ │ │ │уровне в соответствии с эталонной │ │ │ │ │моделью взаимодействия открытых систем │ │ │ │ │- моделью OSI, автоматизированное │ │ │ │ │рабочее место (АРМ) работника или │ │ │ │ │работников - исключены ли из ИСПДн │ │ │ │ │программные средства, предназначенные │ │ │ │ │для разработки и отладки ПО (либо │ │ │ │ │содержащие средства разработки, отладки│ │ │ │ │и тестирования программно-аппаратного │ │ │ │ │обеспечения)? │ │ │ │ │ В случае, если стандартные │ │ │ │ │программные средства общего назначения │ │ │ │ │(например, MS Office) не обеспечивают │ │ │ │ │возможности выборочного удаления из них│ │ │ │ │средств разработки и отладки ПО - │ │ │ │ │введен ли документально запрет │ │ │ │ │использования отдельных компонент │ │ │ │ │(средств разработки и отладки ПО) │ │ │ │ │стандартных программных средств общего │ │ │ │ │назначения (например, MS Office)? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 31 │ 6.5.9 │ В случае, если комплекс средств │M2.7, M2.10, │ │ │ │автоматизации ИСПДн включает одно или │M8.8, M8.12 │ │ │ │несколько сетевых АРМ, сетевого │ │ │ │ │оборудования и серверов - располагаются│ │ │ │ │ли технические и программные средства, │ │ │ │ │предназначенные для разработки и │ │ │ │ │отладки ПО либо содержащие средства │ │ │ │ │разработки, отладки и тестирования │ │ │ │ │программно-аппаратного обеспечения, в │ │ │ │ │сегментах локальной вычислительной сети│ │ │ │ │(ЛВС), изолированных (на уровне не выше│ │ │ │ │сетевого в соответствии с эталонной │ │ │ │ │моделью взаимодействия открытых систем │ │ │ │ │- моделью OSI) от сегментов, │ │ │ │ │задействованных в обработке │ │ │ │ │персональных данных? │ │ │ │ │ Регламентированы ли разработчиком в │ │ │ │ │эксплуатационной документации на ИСПДн │ │ │ │ │параметры настроек технических и │ │ │ │ │программных средств, обеспечивающих │ │ │ │ │указанное разделение, а также процедура│ │ │ │ │контроля этих параметров настроек? │ │ │ │ │ В случае, если стандартные │ │ │ │ │программные средства общего назначения │ │ │ │ │(например, MS Office) не обеспечивают │ │ │ │ │возможности выборочного удаления из них│ │ │ │ │средств разработки и отладки ПО - │ │ │ │ │введен ли документально запрет │ │ │ │ │использования отдельных компонент │ │ │ │ │(средств разработки и отладки ПО) │ │ │ │ │стандартных программных средств общего │ │ │ │ │назначения (например, MS Office), │ │ │ │ │использующихся в сегментах, │ │ │ │ │задействованных в обработке │ │ │ │ │персональных данных? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 32 │ 6.5.10 │ В случае осуществления передачи │M3.4, M6.1 │ │ │ │персональных данных между │ │ │ │ │подразделениям организации по │ │ │ │ │телекоммуникационным каналам и линиям │ │ │ │ │связи, не принадлежащим организации или│ │ │ │ │не пролегающим только по территории │ │ │ │ │организации - осуществляется ли такая │ │ │ │ │передача только при обеспечении защиты │ │ │ │ │персональных данных с помощью │ │ │ │ │организации виртуальных частных сетей │ │ │ │ │(Virtual Private Network - VPN) или │ │ │ │ │иных защитных мер, механизмов и │ │ │ │ │средств, применение которых │ │ │ │ │определяется структурным подразделением│ │ │ │ │или должностным лицом (работником) │ │ │ │ │организации, ответственным за │ │ │ │ │обеспечение безопасности персональных │ │ │ │ │данных, и согласовывается со службой ИБ│ │ │ │ │организации? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 33 │ 6.5.11 │ В случае осуществления передачи │M3.4, M6.1, │ │ │ │персональных данных по │M11.9 │ │ │ │телекоммуникационных каналам и линиям │ │ │ │ │связи между подразделениями │ │ │ │ │организации, с одной стороны, и │ │ │ │ │внешними организациями, с другой │ │ │ │ │стороны - осуществляется ли такая │ │ │ │ │передача с использованием │ │ │ │ │сертифицированных СКЗИ или иных │ │ │ │ │защитных механизмов, применение которых│ │ │ │ │определяется структурным подразделением│ │ │ │ │или должностным лицом (работником) │ │ │ │ │организации, ответственным за │ │ │ │ │обеспечение безопасности персональных │ │ │ │ │данных, и согласовывается со службой ИБ│ │ │ │ │организации? │ │ │ │ │ В случае использования СКЗИ - │ │ │ │ │выполняются ли требования нормативных │ │ │ │ │правовых актов ФСБ России? │ │ │ │ │ В случае обмена информацией с другой │ │ │ │ │организацией - определены ли │ │ │ │ │соглашением сторон (в частности, │ │ │ │ │условиями договора) правила │ │ │ │ │использования СКЗИ? │ │ │ │ │ В случае отсутствия указанной │ │ │ │ │технической возможности - │ │ │ │ │осуществляется ли передача персональных│ │ │ │ │данных в электронном виде на съемных │ │ │ │ │носителях в порядке, согласованном со │ │ │ │ │структурным подразделением или │ │ │ │ │должностным лицом (работником) │ │ │ │ │организации, ответственным за │ │ │ │ │обеспечение безопасности персональных │ │ │ │ │данных и со службой ИБ организации? │ │ ├────────┼─────────┼───────────────────────────────────────┼──────────────┤ │ 34 │ 6.5.12 │ Осуществляется ли подключение ИСПДн к│M3.4, M5.1, │ │ │ │ИСПДн другого класса или к сети │M5.15, M5.23 │ │ │ │Интернет с использованием средств │ │ │ │ │межсетевого экранирования (межсетевых │ │ │ │ │экранов), которые имеют подтвержденный │ │ │ │ │сертификатом класс защиты не ниже │ │ │ │ │четвертого при возможности │ │ │ │ │информационного обмена между всеми │ │ │ │ │компонентами защищаемой ИСПДн без │ │ │ │ │использования компонентов других │ │ │ │ │автоматизированных банковских систем │ │ │ │ │организации (в иных случаях - не ниже │ │ │ │ │третьего класса)? │ │ │ │ │ Указанные классы защиты │ │ │ │ │устанавливаются в соответствии с │ │ │ │ │руководящим документом "Средства │ │ │ │ │вычислительной техники. Межсетевые │ │ │ │ │экраны. Защита от несанкционированного │ │ │ │ │доступа к информации. Показатели │ │ │ │ │защищенности от несанкционированного │ │ │ │ │доступа к информации", утвержденного │ │ │ │ │решением председателя Государственной │ │ │ │ │технической комиссии при Президенте │ │ │ │ │Российской Федерации от 25 июля 1997 │ │ │ │ │года │ │ └────────┴─────────┴───────────────────────────────────────┴──────────────┘

< * > Классы ИСПДн:

ИСПДн-С - ИСПДн обработки специальных категорий персональных данных;

ИСПДн-Б - ИСПДн обработки биометрических персональных данных;

ИСПДн-И - ИСПДн обработки персональных данных, не являющихся биометрическими и не относящихся к специальным категориям, доступ к которым должен быть ограничен;

ИСПДн-Д - ИСПДн обработки общедоступных и (или) обезличенных персональных данных.

Таблица 2. Таблица соответствия частных показателей и положений РС БР ИББС-2.3

┌────────────────────┬────────────────────┬───────────────────────────────┐ │ СТО БР ИББС-1.2 │ Класс ИСПДн │ РС БР ИББС-2.3 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M1.1 │ИСПДн-Д │6.1.5, 6.1.6, 6.1.7 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б, │6.1.5, 6.1.6, 6.1.7, 6.3.10 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M1.3 │ИСПДн-Д │6.1.5, 6.1.6, 6.1.7 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б, │6.1.5, 6.1.6, 6.1.7, 6.3.10 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M1.4 │ИСПДн-Д │6.1.5, 6.1.6, 6.1.7 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б, │6.1.5, 6.1.6, 6.1.7, 6.3.10 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M1.9 │ИСПДн-И │6.3.5 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.3.5 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.3.5, 6.5.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M1.13 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M1.14 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M1.19 │Все классы │6.1.5 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.1 │ИСПДн-Д │6.1.1, 6.1.2, 6.2.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б │6.1.1, 6.1.2, 6.2.1, 6.3.2, │ │ │ │6.3.8 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.1, 6.1.2, 6.2.1, 6.3.2, │ │ │ │6.3.8, 6.5.8 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.2 │Все классы │6.1.1, 6.1.2 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.3 │Все классы │6.1.1, 6.1.2 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.4 │Все классы │6.1.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.5 │ИСПДн-Д │6.1.2, 6.1.7 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-С │6.1.2, 6.1.7, 6.3.10 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.1.2, 6.1.7, 6.3.10, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.6 │ИСПДн-Д │6.1.2, 6.1.7 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-С │6.1.2, 6.1.7, 6.3.10 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.1.2, 6.1.7, 6.3.10, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.7 │ИСПДн-С │6.5.9 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.10 │ИСПДн-С │6.5.9 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.11 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.12 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.13 │ИСПДн-И, ИСПДн-Б │6.3.7, 6.3.8, 6.3.9, 6.3.10 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.3.7, 6.3.8, 6.3.9, 6.3.10, │ │ │ │6.5.8 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.14 │ИСПДн-И, ИСПДн-Б, │6.3.7, 6.3.8, 6.3.9 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.16 │ИСПДн-И, ИСПДн-Б, │6.3.6 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M2.17 │ИСПДн-И, ИСПДн-Б, │6.3.6 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.1 │ИСПДн-И, ИСПДн-С │6.3.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.3.6, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.2 │ИСПДн-Д, ИСПДн-И, │6.1.7 │ │ │ИСПДн-Б │ │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.7, 6.5.3 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.3 │ИСПДН-Б │6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.4 │ИСПДн-И │6.3.2, 6.3.3 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.3.2, 6.3.3, 6.4.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.3.2, 6.3.3, 6.4.1, 6.5.2, │ │ │ │6.5.3, 6.5.10, 6.5.11, 6.5.12 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.5 │ИСПДн-Д, ИСПДн-И, │6.1.4, 6.2.2 │ │ │ИСПДн-Б │ │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.4, 6.2.2, 6.5.2, 6.5.3 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.6 │ИСПДн-Д, ИСПДн-И, │6.1.4, 6.2.2 │ │ │ИСПДн-Б │ │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.4, 6.2.2, 6.5.3 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.7 │ИСПДн-Д, ИСПДн-И │6.1.4, 6.2.2 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.1.4, 6.2.2, 6.4.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.4, 6.2.2, 6.5.3 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.8 │ИСПДн-Д, ИСПДн-И │6.1.4, 6.2.2 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.1.4, 6.2.2, 6.4.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.4, 6.2.2, 6.5.3 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.9 │ИСПДн-Д, ИСПДн-И, │6.2.3 │ │ │ИСПДн-С │ │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.2.3, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.10 │ИСПДн-Б │6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.11 │ИСПДн-Д │6.1.7 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И │6.1.7, 6.3.4, 6.3.5, 6.3.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.1.7, 6.3.4, 6.3.5, 6.3.6, │ │ │ │6.4.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.7, 6.3.4, 6.3.5, 6.3.6, │ │ │ │6.5.4, 6.5.5, 6.5.6, 6.5.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.12 │ИСПДн-Д │6.1.7 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И │6.1.7, 6.3.4, 6.3.5, 6.3.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.1.7, 6.3.4, 6.3.5, 6.3.6, │ │ │ │6.4.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.7, 6.3.4, 6.3.5, 6.3.6, │ │ │ │6.5.4, 6.5.5, 6.5.6, 6.5.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.14 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.15 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.16 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.17 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.18 │Все классы │6.1.8 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.19 │Все классы │6.1.8 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M3.20 │Все классы │6.1.8 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M4.1 │Все классы │6.1.3 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M4.5 │Все классы │6.1.3 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M5.1 │ИСПДн-Д │6.2.3 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б │6.2.3, 6.3.11 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.2.3, 6.3.11, 6.5.12 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M5.15 │ИСПДн-Д │6.2.3 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б │6.2.3, 6.3.11 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.2.3, 6.3.11, 6.5.12 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M5.23 │ИСПДн-Д │6.2.3 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б │6.2.3, 6.3.11 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.2.3, 6.3.11, 6.5.12 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M6.1 │ИСПДн-С │6.5.10, 6.5.11 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M6.3 │ИСПДн-Б │6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M6.4 │ИСПДн-Б │6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.1 │ИСПДн-И, ИСПДн-С │6.3.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.3.6, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.3 │Все классы │6.1.2 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.4 │ИСПДн-Д │6.1.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б │6.1.6, 6.3.5, 6.3.10 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.6, 6.3.5, 6.3.10, 6.5.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.5 │ИСПДн-Д │6.1.2, 6.1.6, 6.1.7 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б │6.1.2, 6.1.6, 6.1.7, 6.3.5, │ │ │ │6.3.10 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.2, 6.1.6, 6.1.7, 6.3.5, │ │ │ │6.3.10, 6.5.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.6 │ИСПДн-Д │6.2.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б, │6.2.1, 6.3.6 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.7 │ИСПДн-И, ИСПДн-С │6.3.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.3.6, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.8 │ИСПДн-С │6.5.9 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.9 │ИСПДн-И, ИСПДн-Б, │6.3.7 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.10 │ИСПДн-И, ИСПДн-Б, │6.3.7 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.12 │ИСПДн-Д, ИСПДн-И, │6.1.7 │ │ │ИСПДн-Б │ │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.7, 6.5.9 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M8.13 │ИСПДн-И, ИСПДн-Б, │6.3.9, 6.3.10 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M10.2 │Все классы │5.2 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M10.3 │Все классы │5.2 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M11.9 │ИСПДн-Д, ИСПДн-И, │6.1.8, 6.2.3, 6.3.3 │ │ │ИСПДн-С │ │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.1.8, 6.2.3, 6.3.3, 6.4.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.8, 6.2.3, 6.3.3, 6.5.11 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M12.2 │ИСПДн-Д │5.2 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-С │5.2, 6.3.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │5.2, 6.3.6, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M12.3 │ИСПДн-Д │5.2 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-С │5.2, 6.3.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │5.2, 6.3.6, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M12.4 │Все классы │5.2 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M15.6 │ИСПДн-Д │6.1.2, 6.1.6, 6.1.7, 6.1.9, │ │ │ │6.2.1, 6.2.2 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б │6.1.2, 6.1.6, 6.1.7, 6.1.9, │ │ │ │6.2.1, 6.2.2, 6.3.5, 6.3.8 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.2, 6.1.6, 6.1.7, 6.1.9, │ │ │ │6.2.1, 6.2.2, 6.3.5, 6.3.8 │ │ │ │6.5.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M15.7 │ИСПДн-Д │6.1.2, 6.1.6, 6.1.7, 6.2.1 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б, │6.1.2, 6.1.6, 6.1.7, 6.2.1, │ │ │ИСПДн-С │6.3.8 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M15.8 │ИСПДн-Д │6.1.6, 6.1.7, 6.1.9, 6.2.2 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б │6.1.6, 6.1.7, 6.1.9, 6.2.2, │ │ │ │6.3.5, 6.3.8 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.6, 6.1.7, 6.1.9, 6.2.2, │ │ │ │6.3.5, 6.3.8, 6.5.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M16.1 │Все классы │6.1.5 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M17.2 │ИСПДн-И, ИСПДн-С │6.3.6 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.3.6, 6.4.1 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M20.2 │ИСПДн-И, ИСПДн-Б, │6.3.10 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M20.3 │ИСПДн-И, ИСПДн-Б, │6.3.9 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M20.5 │ИСПДн-И, ИСПДн-Б, │6.3.9 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M21.1 │ИСПДн-Д │6.1.7, 6.1.9 │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-И, ИСПДн-Б, │6.1.7, 6.1.9, 6.3.3 │ │ │ИСПДн-С │ │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M21.7 │Все классы │6.1.7, 6.1.9 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M21.8 │Все классы │6.1.7 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M28.9 │ИСПДн-Д, ИСПДн-И, │6.1.8, 6.2.3, 6.3.3 │ │ │ИСПДн-С │ │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-Б │6.1.8, 6.2.3, 6.3.3, 6.4.1 │ │ │ │ │ │ ├────────────────────┼───────────────────────────────┤ │ │ИСПДн-С │6.1.8, 6.2.3, 6.3.3, 6.5.11 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M29.1 │Все классы │6.1.5 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M32.1 │Все классы │6.1.7, 6.1.9 │ ├────────────────────┼────────────────────┼───────────────────────────────┤ │ M32.2 │Все классы │6.1.7 │ └────────────────────┴────────────────────┴───────────────────────────────┘

Ключевые слова: банковская система Российской Федерации, информационная безопасность, методика оценки соответствия, показатели информационной безопасности, текущий уровень информационной безопасности, система менеджмента информационной безопасности, осознание информационной безопасности, требования информационной безопасности.