Показатели информационной безопасности организаций банковской системы Российской Федерации (обязательная форма): бланк, образец 2024

Формат для скачивания юридического документа DOCX

Cкачать образец документа «Показатели информационной безопасности организаций банковской системы Российской Федерации (обязательная форма)»

Приложение А к СТО БР ИББС-1.2-2014 Обеспечение информационной безопасности организаций банковской системы Российской Федерации

(обязательное)

ПОКАЗАТЕЛИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Групповой показатель М1 "Обеспечение информационной безопасности при назначении и распределении ролей и обеспечении доверия к персоналу"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М1.1

Выделены ли в организации БС РФ роли ее работников?

обязательный категория 1

М1.2

- проверку подлинности предоставленных документов, заявляемой квалификации, точности и полноты биографических фактов;

- проверку в части профессиональных навыков и оценку профессиональной пригодности?

обязательный категория 1

М1.13

Предусматривают ли указанные в частном показателе М1.12 процедуры фиксацию результатов проводимых проверок?

обязательный категория 2

М1.14

Определены ли, выполняются ли и регистрируются, выполняются и регистрируются ли в организации БС РФ процедуры регулярной проверки в части профессиональных навыков и оценки профессиональной пригодности работников?

М1.15

Предусматривают ли указанные в частном показателе М1.14 процедуры фиксацию результатов проводимых проверок?

М1.16

Определены ли, выполняются ли и регистрируются ли в организации БС РФ процедуры внеплановой проверки работников при выявлении фактов их нештатного поведения, участия в инцидентах ИБ или подозрений в таком поведении или участии?

М1.17

Предусматривают ли указанные в частном показателе М1.16 процедуры фиксацию результатов проводимых проверок?

М1.18

Обязаны ли все работники организации БС РФ давать письменные обязательства о соблюдении конфиденциальности, приверженности правилам корпоративной этики, включая требования по недопущению конфликта интересов?

обязательный категория 3

М1.19

Регламентируются ли положениями, включенными в договоры (соглашения) с внешними организациями и клиентами, требования по ИБ?

обязательный категория 2

М1.20

Определены ли в трудовых контрактах (соглашениях, договорах) и (или) должностных инструкциях обязанности персонала по выполнению требований ИБ?

обязательный категория 2

М1.21

Приравнивается ли невыполнение работниками организации БС РФ требований ИБ к невыполнению должностных обязанностей и приводит ли как минимум к дисциплинарной ответственности?

обязательный категория 1

Итоговая оценка группового показателя М1

Групповой показатель М2 "Обеспечение информационной безопасности автоматизированных банковских систем на стадиях жизненного цикла"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М2.1

Рассматриваются ли в части вопросов обеспечения ИБ следующие стадии модели ЖЦ АБС:

- разработка технических заданий;

- проектирование;

- создание и тестирование;

-приемка и ввод в действие;

- эксплуатация;

М2.7

Проводится ли организацией БС РФ анализ принятия разработчиком АБС защитных мер, направленных на обеспечение безопасности разработки АБС и безопасности ее поставки?

М2.8

Реализуется ли при взаимодействии организации БС РФ с разработчиком АБС и их компонентов одна из трех альтернатив:

1) в договор (контракт) о разработке АБС или поставке готовых АБС и их компонентов включаются положения по сопровождению поставляемых изделий на весь срок их службы;

2) организация БС РФ приобретает полный комплект документации, обеспечивающий возможность сопровождения АБС и их компонентов без участия разработчика;

3) руководство организации БС РФ оценивает и фиксирует допустимость риска нарушения ИБ, возникающего при невозможности сопровождения АБС и их компонентов?

обязательный категория 3

М2.9

Учитывается ли при разработке технических заданий на системы дистанционного банковского обслуживания, что защита данных должна обеспечиваться в условиях:

- попыток несанкционированного доступа к информации анонимных, неавторизованных злоумышленников с использованием сетей общего пользования;

- возможности ошибок авторизованных пользователей систем;

- возможности ненамеренного или неадекватного использования защищаемой информации авторизованными пользователями?

обязательный категория 3

М2.10

Определены ли в организации БС РФ, выполняются ли и регистрируются ли на стадии эксплуатации АБС процедуры:

- контроля работоспособности (функционирования, эффективности) реализованных в АБС защитных мер, в том числе контроль реализации организационных защитных мер, контроль состава и параметров настройки применяемых технических защитных мер;

- контроля отсутствия уязвимостей в оборудовании и программном обеспечении АБС;

- контроля внесения изменений в параметры настройки АБС и применяемых технических защитных мер;

- контроля необходимого обновления программного обеспечения АБС, включая программное обеспечение технических защитных мер?

- умышленного несанкционированного раскрытия, модификации или уничтожения информации;

- неумышленной модификации, раскрытия или уничтожения информации;

- отказа в обслуживании или ухудшения обслуживания?

обязательный категория 1

М2.17

Определены ли, выполняются ли и регистрируются ли на стадии сопровождения (модернизации) АБС, отнесенных решением организацией БС РФ к критичным, в том числе АБС, задействованных в реализации банковского платежного технологического процесса, и в ИСПДн, процедуры фиксации внесенных изменений?

обязательный категория 1

М2.18

Определены ли, выполняются ли и регистрируются ли на стадии сопровождения (модернизации) АБС, отнесенных решением организацией БС РФ к критичным, в том числе АБС, задействованных в реализации банковского платежного технологического процесса, и в ИСПДн, процедуры проверки функциональности АБС, в том числе применяемых мер защиты информации, после внесения изменений?

обязательный категория 1

М2.19

Определены ли, выполняются ли, регулируются ли и выполняются ли на стадии снятия с эксплуатации процедуры, обеспечивающие удаление информации с использованием алгоритмов и (или) методов, обеспечивающих невозможность восстановления удаленной информации, несанкционированное использование которой может нанести ущерб бизнес-деятельности организации, и информации, используемой техническими защитными мерами, из постоянной памяти АБС и с внешних носителей (за исключением архивов электронных документов и протоколов электронного взаимодействия, ведение и сохранность которых в течение определенного срока предусмотрены законодательством РФ, нормативными актами Банка России и (или) договорными документами)?

обязательный категория 1

Итоговая оценка группового показателя М2

Групповой показатель М3 "Обеспечение информационной безопасности при управлении доступом и регистрации"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М3.1

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ процедуры выявления, учета и классификации (отнесение к одному из типов) информационных активов?

обязательный категория 1

М3.2

Учтены ли и зафиксированы ли права доступа работников и клиентов организации БС РФ к информационным активам и (или) их типам?

обязательный категория 1

М3.3

Применяются ли в составе АБС встроенные защитные меры от НСД и НРД?

обязательный категория 1

М3.4

обязательный категория 1

М3.29

Обеспечено ли хранение данных о действиях и операциях не менее трех лет (если иные сроки хранения не установлены законодательством РФ, нормативными актами Банка России)?

М3.30

Обеспечено ли хранение данных, полученных в результате выполнения банковского платежного технологического процесса, не менее пяти лет (если иные сроки хранения не установлены законодательством РФ, нормативными актами Банка России)?

М3.31

Используются ли для проведения процедур мониторинга ИБ и анализа данных о действиях и операциях специализированные программные и (или) технические средства?

обязательный категория 3

М3.32

Зафиксированы ли критерии выявления неправомерных или подозрительных действий и операций, используемые при проведении процедур мониторинга ИБ и анализа данных о действиях и операциях?

обязательный категория 2

М3.33

Применяются ли процедуры мониторинга ИБ и анализа данных о действиях и операциях, использующие зафиксированные критерии выявления неправомерных или подозрительных действий и операций, на регулярной основе, например ежедневно, ко всем выполненным операциям (транзакциям)?

обязательный категория 3

М3.34

Определено ли и контролируется ли в организации БС РФ выполнение требований:

- к разделению сегментов вычислительных сетей, в том числе создаваемых с использованием технологии виртуализации;

- к межсетевому экранированию;

- к информационному взаимодействию между сегментами вычислительных сетей?

обязательный категория 1

М3.35

Осуществляется ли разделение сегментов вычислительных сетей с целью обеспечения независимого выполнения банковских платежных технологических процессов организации БС РФ, а также банковских информационных технологических процессов организации БС РФ разной степени критичности, в том числе банковских информационных технологических процессов, в рамках которых осуществляется обработка персональных данных в ИСПДн?

обязательный категория 1

М3.36

Регламентированы ли и контролируются ли процедуры внесения изменений в конфигурацию сетевого оборудования, предусматривающие согласование вносимых изменений со службой ИБ?

обязательный категория 2

М3.37

Предоставлен ли работникам службы ИБ доступ к конфигурации сетевого оборудования без возможности внесения изменений?

М3.38

Определен ли, выполняется ли, регистрируется ли и контролируется ли порядок доступа к объектам среды информационных активов, в том числе в помещения, в которых размещаются объекты среды информационных активов?

обязательный категория 1

М3.39

Обеспечивают ли используемые в организации БС РФ АБС, в том числе системы дистанционного банковского обслуживания, возможность регистрации:

- операций с данными о клиентских счетах, включая операции открытия, модификации и закрытия клиентских счетов;

- проводимых транзакций, имеющих финансовые последствия;

- операций, связанных с назначением и распределением прав пользователей?

обязательный категория 3

М3.40

Определен ли, выполняется ли и контролируется ли в организации БС РФ порядок использования съемных носителей информации?

обязательный категория 1

М3.41

Реализованы ли в системах дистанционного банковского обслуживания, используемых в организации БС РФ, защитные меры, обеспечивающие невозможность отказа от авторства проводимых клиентами операций и транзакций?

обязательный категория 3

М3.42

Придано ли протоколам операций, выполняемых посредством дистанционного банковского обслуживания, свойство юридической значимости, например, путем внесения соответствующих положений в договоры на дистанционное банковское обслуживание?

обязательный категория 1

М3.43

обязательный категория 3

М3.54

Осуществляется ли работа всех работников организации БС РФ АБС под уникальными и персонифицированными учетными записями?

обязательный категория 3

Итоговая оценка группового показателя М3

Групповой показатель М4 "Обеспечение информационной безопасности средствами антивирусной защиты"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М4.1

Применяются ли на всех автоматизированных рабочих местах и серверах АБС организации БС РФ, если иное не предусмотрено технологическим процессом, средства антивирусной защиты?

обязательный категория 1

М4.2

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ процедуры установки и регулярного обновления средств антивирусной защиты (версий и баз данных) на автоматизированных рабочих местах и серверах АБС?

обязательный категория 1

М4.3

Организовано ли функционирование постоянной антивирусной защиты в автоматическом режиме и автоматический режим установки обновлений антивирусного программного обеспечения и его баз данных?

М4.4

Проводится ли антивирусная проверка съемных носителей информации перед их подключением к средствам вычислительной техники, задействованным в рамках осуществления банковских технологических процессов, на специально выделенном автономном средстве вычислительной техники?

М4.5

Разработаны ли и введены ли в действие инструкции и рекомендации по антивирусной защите, учитывающие особенности банковских технологических процессов?

обязательный категория 2

М4.6

Организована ли в организации БС РФ антивирусная фильтрация всего трафика электронного почтового обмена?

обязательный категория 3

М4.7

Организована ли в организации БС РФ эшелонированная централизованная система антивирусной защиты, предусматривающая использование средств антивирусной защиты различных производителей на:

- рабочих станциях;

- серверном оборудовании, в том числе серверах электронной почты;

- технических средствах межсетевого экранирования?

обязательный категория 1

М4.8

Определены ли, выполняются ли, регистрируются ли и контролируются ли процедуры предварительной проверки устанавливаемого или изменяемого программного обеспечения на отсутствие вирусов?

обязательный категория 1

М4.9

Выполняется ли после установки или изменения программного обеспечения антивирусная проверка?

обязательный категория 3

М4.10

Определены ли, выполняются ли, регистрируются ли и контролируются ли процедуры, выполняемые в случае обнаружения компьютерных вирусов, в которых, в частности, необходимо зафиксировать:

- необходимые меры по отражению и устранению последствий вирусной атаки;

- порядок официального информирования руководства;

- порядок приостановления при необходимости работы (на период устранения последствий вирусной атаки)?

обязательный категория 1

М4.11

Определены ли, выполняются ли и регистрируются ли процедуры контроля за отключением и обновлением антивирусных средств на всех технических средствах АБС?

обязательный категория 1

М4.12

обязательный категория 3

М5.12

Выполнено ли выделение и организована ли физическая изоляция от внутренних сетей тех ЭВМ, с помощью которых осуществляется непосредственное взаимодействие с сетью Интернет?

М5.13

Применяются ли при осуществлении дистанционного банковского обслуживания защитные меры, предотвращающие возможность подмены авторизованного клиента злоумышленником в рамках сеанса работы?

обязательный категория 3

М5.14

Регистрируются ли регламентированным образом попытки подмены авторизованного клиента злоумышленником в рамках сеанса работы?

обязательный категория 1

М5.15

Все ли операции клиентов в течение сеанса работы с системами дистанционного банковского обслуживания, в том числе операции по переводу денежных средств, выполняются только после выполнения процедур идентификации, аутентификации и авторизации?

обязательный категория 3

М5.16

Обеспечивается ли закрытие текущей сессии и повторное выполнение процедур идентификации, аутентификации и авторизации в случаях нарушения или разрыва соединения при работе с системами дистанционного банковского обслуживания?

обязательный категория 3

М5.17

Используется ли специализированное клиентское программное обеспечение для доступа пользователей к системам дистанционного банковского обслуживания?

М5.18

Определены ли состав и порядок применения мер защиты, применяемых для организации почтового обмена через сеть Интернет?

обязательный категория 2

М5.19

Организован ли почтовый обмен с сетью Интернет через ограниченное количество точек, состоящих из внешнего (подключенного к сети Интернет) и внутреннего (подключенного к внутренним сетям организации БС РФ) почтовых серверов с безопасной системой репликации почтовых сообщений между ними (интернет-киоски)?

М5.20

Осуществляется ли архивирование электронной почты с целью:

- контроля информационных потоков, в том числе с целью предотвращение утечек информации;

- использования архивов при проведении разбирательств по фактам утечек информации?

обязательный категория 3

М5.21

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ правила и процедуры доступа к информации архива и ее изменения, предусматривающие возможность доступа работников службы ИБ к информации архива?

обязательный категория 1

М5.22

Не применяется ли в организации БС РФ практика хранения и обработки банковской информации (в т.ч. открытой) на ЭВМ, с помощью которой осуществляется непосредственное взаимодействие с сетью Интернет?

М5.23

Всегда ли наличие банковской информации на ЭВМ, с помощью которых осуществляется непосредственное взаимодействие с сетью Интернет, определяется бизнес-целями организации БС РФ и санкционируется ее руководством?

обязательный категория 3

М5.24

Определены ли состав и порядок применения мер защиты, применяемых при взаимодействии с сетью Интернет и позволяющие обеспечить противодействие атакам злоумышленников и распространению спама?

обязательный категория 1

Итоговая оценка группового показателя М5

Групповой показатель М6 "Обеспечение информационной безопасности при использовании средств криптографической защиты информации"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М6.1

Проводится ли применение СКЗИ в организации БС РФ в соответствии с моделью угроз ИБ и моделью нарушителя ИБ, принятыми организацией БС РФ?

обязательный категория 1

М6.2

Имеют ли СКЗИ, применяемые для защиты персональных данных, класс не ниже КС2?

обязательный категория 3

М6.3

Проводятся ли работы по обеспечению безопасности информации с помощью СКЗИ в соответствии с действующими законодательством, нормативными документами, регламентирующими вопросы эксплуатации СКЗИ, технической документацией на СКЗИ и лицензионными требованиями ФСБ России?

обязательный категория 1

М6.4

обязательный категория 3

М6.13

Реализованы ли процедуры мониторинга ИБ, регистрирующие все значимые события, состоявшиеся в процессе обмена криптографически защищенными данными, и всех инцидентов ИБ?

М6.14

Определен ли руководством на основании указанных в разделе 7.7 СТО БР ИББС-1.0 документов порядок применения СКЗИ, включающий:

- порядок ввода в действие, включая процедуры встраивания СКЗИ в АБС;

- порядок эксплуатации;

- порядок восстановления работоспособности в аварийных случаях;

- порядок внесения изменений;

- порядок снятия с эксплуатации;

- порядок управления ключевой системой;

- порядок обращения с носителями ключевой информации, включая действия при смене и компрометации ключей?

обязательный категория 1

М6.15

Самостоятельно ли изготавливаются в организации БС РФ и (или) клиентом организации ключи СКЗИ?

М6.16

Применяются ли для систем дистанционного банковского обслуживания процедуры, реализующие:

Итоговая оценка группового показателя М7

Групповой показатель М8 "Обеспечение информационной безопасности банковских информационных технологических процессов"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М8.1

Проведена ли в организации БС РФ классификация неплатежной информации?

обязательный категория 2

М8.2

Проводится ли классификация неплатежной информации в соответствии со степенью тяжести последствий потери свойств ИБ, в частности, свойств доступности, целостности и конфиденциальности?

обязательный категория 3

М8.3

Определен ли документально набор требований по защите каждого из типов неплатежной информации, полученных в результате классификации?

обязательный категория 2

М8.4

Регламентированы (описаны) ли в организации БС РФ банковские информационные технологические процессы?

обязательный категория 1

М8.5

Реализованы ли банковские информационные технологические процессы в рамках созданных для этих целей АБС?

обязательный категория 3

М8.6

Изолированы ли серверы, офисные ЭВМ и другое оборудование, не входящее в состав АБС, реализующих банковские информационные технологические процессы, от указанных АБС на уровне локальных вычислительных сетей способом, согласованным со службой ИБ?

М8.7

обязательный категория 1

М9.20

обязательный категория 1

М9.21

Обеспечивает ли организация БС РФ в случае отсутствия возможности уничтожения ПДн либо обезличивания ПДн в течение срока, установленного Федеральным законом "О персональных данных", их блокирование с последующим обеспечением уничтожения ПДн, которое производится не позднее шести месяцев со дня их блокирования?

обязательный категория 1

М9.22

Определена ли, выполняется ли и контролируется ли в организации БС РФ политика в отношении обработки ПДн, а также в случае необходимости установлены ли порядки обработки ПДн для отдельных ресурсов ПДн?

обязательный категория 1

М9.23

обязательный категория 3

М9.60

обязательный категория 1

М10.10

обязательный категория 1

М10.11

Реализованы ли в организации БС РФ защита периметров сегментов вычислительной сети, в которых расположена ИСПДн, и контроль информационного взаимодействия между сегментами вычислительных сетей?

обязательный категория 3

М10.12

Определены ли и контролируются ли в организации БС РФ правила информационного взаимодействия между ИСПДн с иными АБС?

обязательный категория 1

М10.13

Осуществляется ли использование в организации БС РФ в ИСПДн сертифицированных по требованиям безопасности информации средств защиты информации в соответствии с требованиями приказа Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 года N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных"?

обязательный категория 3

М10.14

Назначен ли для каждой ИСПДн работник организации БС РФ, ответственный за обеспечение безопасности персональных данных в ИСПДн?

обязательный категория 2

Итоговая оценка группового показателя М10

Групповой показатель М11 "Организация и функционирование службы ИБ организации БС РФ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М11.1

Сформирована ли руководством служба ИБ в составе не менее двух человек (назначены ли уполномоченные лица) для реализации, эксплуатации, контроля и поддержания на должном уровне СОИБ, утверждены ли цели и задачи ее деятельности?

обязательный категория 3

М11.2

Имеет ли служба ИБ утвержденные руководством полномочия и ресурсы, необходимые для выполнения установленных целей и задач?

обязательный категория 3

М11.3

Имеет ли служба ИБ назначенного из числа руководства куратора, который при этом не является куратором службы информатизации (автоматизации)?

обязательный категория 3

М11.4

обязательный категория 3

М11.15

Наделена ли служба ИБ полномочиями участвовать в создании, поддержании, эксплуатации и совершенствовании СОИБ организации БС РФ?

М13.11

Назначены ли ответственные за выполнение ролей по оценке рисков нарушения ИБ?

обязательный категория 3

Итоговая оценка группового показателя М13

Групповой показатель М14 "Разработка планов обработки рисков нарушения ИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М14.1

Определен ли в организации БС РФ по каждому из недопустимых рисков нарушения ИБ план, устанавливающий один из возможных способов обработки риска:

- перенос риска на сторонние организации (например, путем страхования указанного риска);

- уход от риска (например, путем отказа от деятельности, выполнение которой приводит к появлению риска);

Итоговая оценка группового показателя М14

Групповой показатель М15 "Определение/коррекция внутренних документов, регламентирующих деятельность в области обеспечения ИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М15.1

обязательный категория 2

М15.10

Определены ли в политике ИБ (частных политиках ИБ) организации БС РФ:

- цели и задачи обеспечения ИБ;

- основные области обеспечения ИБ;

- типы основных защищаемых информационных активов;

- модели угроз и нарушителей;

- совокупность правил, требований и руководящих принципов в области ИБ;

- основные требования к обеспечению ИБ;

- принципы противодействия угрозам ИБ по отношению к типам основных защищаемых информационных активов;

- основные принципы повышения уровня осознания и осведомленности в области ИБ;

- принципы реализации и контроля выполнения требований политики ИБ?

обязательный категория 2

М15.11

Корректируются ли в политике ИБ (частных политиках ИБ) организации БС РФ:

- цели и задачи обеспечения ИБ;

- основные области обеспечения ИБ;

- типы основных защищаемых информационных активов;

- модели угроз и нарушителей;

- совокупность правил, требований и руководящих принципов в области ИБ;

- основные требования к обеспечению ИБ;

- принципы противодействия угрозам ИБ по отношению к типам основных защищаемых информационных активов;

- основные принципы повышения уровня осознания и осведомленности в области ИБ;

- принципы реализации и контроля выполнения требований политики ИБ?

обязательный категория 3

М15.12

Разрабатываются ли внутренние документы, регламентирующие деятельность в области обеспечения ИБ на основе:

- законодательства РФ;

- комплекса БР ИББС, в частности требования разделов 7 и 8 стандарта СТО БР ИББС-1.0;

- нормативных актов и предписаний регулирующих и надзорных органов;

- договорных требований организации БС РФ со сторонними организациями;

- результатов оценки рисков, выполненной с соответствующей уровню разрабатываемого документа детализацией рассматриваемых информационных активов или типов информационных активов?

обязательный категория 3

М15.13

Корректируются ли внутренние документы, регламентирующие деятельность в области обеспечения ИБ на основе:

- законодательства РФ;

- комплекса БР ИББС, в частности требования разделов 7 и 8 стандарта СТО БР ИББС-1.0;

Итоговая оценка группового показателя М15

Групповой показатель М16 "Принятие руководством организации БС РФ решений о реализации и эксплуатации СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М16.1

Зафиксированы ли и утверждены ли руководством решения о реализации и эксплуатации СОИБ, в частности решения:

- об анализе и принятии остаточных рисков нарушения ИБ;

- о планировании этапов внедрения СОИБ, в частности требований ИБ, изложенных в разделах 7 и 8 СТО БР ИББС-1.0;

- о распределении ролей в области обеспечения ИБ организации БС РФ;

- о принятии со стороны руководства планов внедрения защитных мер, направленных на реализацию требований разделов 7 и 8 СТО БР ИББС-1.0 и снижение рисков ИБ;

- о выделении ресурсов, необходимых для реализации и эксплуатации функционирования СОИБ?

обязательный категория 2

М16.2

Утверждены ли руководством все планы внедрения СОИБ, в частности планы реализаций требований разделов 7 и 8 СТО БР ИББС-1.0, планы обработки рисков нарушения ИБ и внедрения защитных мер, в которых определены:

- последовательность выполнения мероприятий в рамках указанных планов;

- сроки начала и окончания запланированных мероприятий;

- должностные лица (подразделения), ответственные за выполнение каждого указанного мероприятия?

обязательный категория 2

М16.3

Определен ли в организации БС РФ порядок разработки, пересмотра и контроля исполнения планов по обеспечению ИБ организации БС РФ?

обязательный категория 2

М16.4

Зафиксированы ли решения руководства, связанные с назначением и распределением ролей для всех структурных подразделений в соответствии с положениями внутренних документов, регламентирующих деятельность по обеспечению ИБ организации БС РФ?

обязательный категория 2

Итоговая оценка группового показателя М16

Групповой показатель М17 "Организация реализации планов внедрения СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М17.1

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ процедуры проектирования/приобретения/развертывания, внедрение, эксплуатация, контроль и сопровождение эксплуатации защитных мер (СИБ), предусмотренных планами реализации требований ИБ?

обязательный категория 1

М17.2

Реализуются ли при построении элементов СИБ (применительно к конкретной области или сфере деятельности организации БС РФ) защитные меры, применяемые к объектам среды в соответствии с существующими в организации БС РФ требованиями обеспечения ИБ, сформулированными в политике ИБ и других внутренних документах организации БС РФ?

обязательный категория 1

М17.3

Определены ли в организации БС РФ роли, связанные с реализацией планов обработки рисков нарушения ИБ и с реализацией требуемых защитных мер?

обязательный категория 3

М17.4

Назначены ли в организации БС РФ ответственные за выполнение ролей, связанных с реализацией планов обработки рисков нарушения ИБ и с реализацией требуемых защитных мер?

обязательный категория 3

Итоговая оценка группового показателя М17

Групповой показатель М18 "Разработка и организация реализации программ по обучению и повышению осведомленности в области ИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М18.1

Организована ли санкционированная руководством организации БС РФ работа с персоналом и клиентами в направлении повышения осведомленности и обучения в области ИБ?

обязательный категория 3

М18.2

Разработаны ли планы, программы обучения и повышения осведомленности в области ИБ, по результатам выполнения которых должна осуществляться проверка полученных знаний?

обязательный категория 1

М18.3

Установлены ли в планах обучения и повышения осведомленности требования к периодичности обучения и повышения осведомленности?

обязательный категория 2

М18.4

Разрабатываются ли программы обучения и повышения осведомленности для различных групп сотрудников с учетом их должностных обязанностей и выполняемых ролей? Включена ли в них информация:

- по существующим политикам ИБ;

- по применяемым в организации защитным мерам;

- по правильному использованию защитных мер в соответствии с внутренними документами организации БС РФ;

- о значимости и важности деятельности работников для обеспечения ИБ организации БС РФ?

обязательный категория 2

М18.5

Определен ли в организации БС РФ перечень свидетельств выполнения программ обучения и повышения осведомленности в области ИБ? В частности, такими свидетельствами могут являться:

- документы (журналы), подтверждающие прохождение руководителями

и работниками организации БС РФ обучения в области ИБ с указанием уровня образования, навыков, опыта и квалификации обучаемых;

- документы, содержащие результаты проверок обучения работников организации БС РФ;

- документы, содержащие результаты проверок осведомленности в области ИБ в организации БС РФ

обязательный категория 2

М18.6

Организуется ли для работника, получившего новую роль, обучение или инструктаж в области ИБ в соответствии с полученной ролью?

обязательный категория 3

М18.7

Определены ли в организации БС РФ роли по разработке, реализации планов и программ обучения и повышения осведомленности в области ИБ и по контролю их результатов?

обязательный категория 3

М18.8

Назначены ли в организации БС РФ ответственные за выполнение ролей по разработке, реализации планов и программ обучения и повышения осведомленности в области ИБ и по контролю их результатов?

обязательный категория 3

Итоговая оценка группового показателя М18

Групповой показатель М19 "Организация обнаружения и реагирования на инциденты безопасности"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М19.1

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ процедуры обработки инцидентов, включающие:

- процедуры обнаружения инцидентов ИБ;

- процедуры информирования об инцидентах, в том числе информирования службы ИБ;

- процедуры классификации инцидентов и оценки ущерба, нанесенного инцидентом ИБ;

Итоговая оценка группового показателя М19

Групповой показатель М20 "Организация обеспечения непрерывности бизнеса и его восстановления после прерываний"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М20.1

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ процедуры учета информационных активов или типов информационных активов, существенных для обеспечения непрерывности бизнеса организации БС РФ?

обязательный категория 1

М20.2

Установлены ли в организации БС РФ требования обеспечения ИБ, регламентирующие вопросы обеспечения непрерывности бизнеса и его восстановления после прерывания, в том числе требования к мероприятиям по восстановлению необходимой информации, программного обеспечения, технических средств, а также каналов связи?

обязательный категория 2

М20.3

Определен ли в организации БС РФ план обеспечения непрерывности бизнеса и его восстановления после возможного прерывания, содержащий инструкции и порядок действий работников организации БС РФ, в состав которого включены:

- условия активации плана;

- порядок действий, которые должны быть предприняты после инцидента ИБ (инструкции персонала);

- процедуры восстановления;

- процедуры тестирования и проверки плана;

М20.13

обязательный категория 3

М21.6

Назначены ли в организации БС РФ ответственные за выполнение ролей, связанных с выполнением процедур мониторинга ИБ и контроля защитных мер, а также с пересмотром указанных процедур?

обязательный категория 3

Итоговая оценка группового показателя М21

Групповой показатель М22 "Проведение самооценки ИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М22.1

Проводится ли самооценка ИБ собственными силами и по инициативе руководства организации БС РФ?

обязательный категория 3

М22.2

Проводится ли самооценка ИБ в соответствии с настоящим стандартом?

обязательный категория 3

М22.3

Организован ли порядок проведения самооценки ИБ в соответствии с рекомендациями по стандартизации Банка России РС БР ИББС-2.1 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Руководство по самооценке соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0"?

М22.4

Установлена ли в организации БС РФ и реализована ли программа самооценок ИБ, содержащая информацию, необходимую для планирования и организации самооценок ИБ, их контроля, анализа и совершенствования, а также обеспечения их ресурсами, необходимыми для эффективного и результативного проведения указанных самооценок ИБ в заданные сроки?

обязательный категория 1

М22.5

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ процедуры:

- формирования, сбора и хранения свидетельств самооценки ИБ;

- соблюдения периодичности проведения самооценки ИБ;

- хранения и распространения результатов самооценки ИБ?

обязательный категория 1

М22.6

Установлен ли в организации БС РФ для каждой проводимой в организации БС РФ самооценки ИБ план ее проведения, определяющий:

- цель самооценки ИБ;

- объекты и деятельность, подвергающиеся самооценке ИБ;

Итоговая оценка группового показателя М22

Групповой показатель М23 "Проведение аудита ИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М23.1

Проводится ли аудит ИБ организации БС РФ в соответствии с требованиями СТО БР ИББС-1.1 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности" и СТО БР ИББС-1.0?

обязательный категория 3

М23.2

Установлена ли в организации БС РФ и реализуется ли программа аудитов ИБ, содержащая информацию, необходимую для планирования и организации аудитов ИБ, их контроля, анализа и совершенствования, а также обеспечения их ресурсами, необходимыми для эффективного и результативного проведения указанных аудитов ИБ в заданные сроки?

обязательный категория 1

М23.3

Установлен ли в организации БС РФ для каждого проводимого в организации БС РФ аудита ИБ план аудита, определяющий:

- цель аудита ИБ;

- критерии аудита ИБ;

- область аудита ИБ;

- дату и продолжительность проведения аудита ИБ;

- состав аудиторской группы;

- описание деятельности и мероприятий по проведению аудита ИБ;

- распределение ресурсов при проведении аудита ИБ?

обязательный категория 2

М23.4

Оформлены ли договоры с аудиторскими организациями с установленными в них процедурами:

- хранения, доступа и использования материалов, получаемых в процессе проведения аудита ИБ;

- взаимодействия с аудиторской организацией в процессе проведения аудита ИБ;

- взаимодействия аудиторской группы и руководства, позволяющими представителям аудиторской группы при необходимости непосредственно обращаться к руководству;

М23.10

Проводится ли в организации БС РФ оценка соответствия ИБ в виде аудита ИБ или самооценки ИБ не реже одного раза в два года?

обязательный категория 1

Итоговая оценка группового показателя М23

Групповой показатель М24 "Анализ функционирования СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М24.1

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ процедуры анализа функционирования СОИБ, использующие в том числе:

- результаты мониторинга ИБ и контроля защитных мер;

- сведения об инцидентах ИБ;

- результаты проведения аудитов ИБ, самооценок ИБ;

- данные об угрозах, возможных нарушителях и уязвимостях ИБ;

Итоговая оценка группового показателя М24

Групповой показатель М25 "Анализ СОИБ со стороны руководства организации БС РФ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М25.1

Установлен ли в организации БС РФ перечень документов (данных), необходимых для формирования информации, предоставляемой руководству с целью проведения анализа СОИБ?

обязательный категория 2

М25.2

Входят ли в перечень документов, необходимых для формирования информации, предоставляемой руководству с целью проведения анализа СОИБ, отчеты с результатами:

- мониторинга ИБ и контроля защитных мер;

- анализа функционирования СОИБ;

- аудитов ИБ;

- самооценок ИБ?

обязательный категория 3

М25.3

Входят ли в перечень документов, необходимых для формирования информации, предоставляемой руководству с целью проведения анализа СОИБ, документы, содержащие информацию:

- о способах и методах защиты, защитных мерах или процедурах их использования, которые могли бы использоваться для улучшения функционирования СОИБ;

- о новых, выявленных уязвимостях и угрозах ИБ;

- о действиях, предпринятых по итогам предыдущих анализов СОИБ, осуществленных руководством;

М25.9

Назначены ли в организации БС РФ ответственные за выполнение ролей, связанных с подготовкой информации, необходимой для анализа СОИБ руководством?

обязательный категория 3

Итоговая оценка группового показателя М25

Групповой показатель М26 "Принятие решений по тактическим улучшениям СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М26.1

Рассматриваются ли при принятии решений, связанных с тактическими улучшениями СОИБ, результаты:

- аудитов ИБ;

- самооценок ИБ;

- мониторинга ИБ и контроля защитных мер;

- анализа функционирования СОИБ;

- обработки инцидентов ИБ;

- выявления новых угроз и уязвимостей ИБ;

- оценки рисков;

- анализа перечня защитных мер, возможных для применения;

- стратегических улучшений СОИБ;

Итоговая оценка группового показателя М26

Групповой показатель М27 "Принятие решений по стратегическим улучшениям СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М27.1

Рассматриваются ли при принятии решений, связанных со стратегическими улучшениями СОИБ, результаты:

- аудитов ИБ;

- самооценок ИБ;

- мониторинга ИБ и контроля защитных мер;

- анализа функционирования СОИБ;

- обработки инцидентов ИБ;

- выявления новых информационных активов организации БС РФ или их типов;

- выявления новых угроз и уязвимостей ИБ;

- оценки рисков;

- пересмотра основных рисков ИБ;

- анализа СОИБ со стороны руководства;

- анализа успешных практик в области ИБ (собственных или других организаций)?

обязательный категория 3

М27.2

Рассматриваются ли при принятии решений, связанных со стратегическими улучшениями СОИБ, изменения интересов, целей и задач бизнеса организации БС РФ, контрактных обязательств организации БС РФ, а также изменения в законодательстве РФ и нормативных актах Банка России?

обязательный категория 2

М27.3

Фиксируются ли в организации БС РФ решения по стратегическим улучшениям СОИБ, содержащие либо выводы об отсутствии необходимости стратегических улучшений СОИБ, либо направления стратегических улучшений СОИБ?

обязательный категория 2

М27.4

Формируются ли направления стратегических улучшений СОИБ в виде корректирующих или превентивных действий, например:

- уточнение/пересмотр целей и задач обеспечения ИБ, определенных в рамках политики ИБ (частных политик ИБ) организации БС РФ;

- изменения в области действия СОИБ;

- пересмотр моделей угроз и нарушителей;

- изменение подходов к оценке рисков ИБ, критериев принятия риска ИБ?

обязательный категория 1

М27.5

Регистрируется ли деятельность по реализации стратегических улучшений СОИБ?

обязательный категория 3

М27.6

Установлены ли в организации БС РФ планы реализации стратегических улучшений СОИБ?

обязательный категория 2

М27.7

Существуют ли в организации БС РФ документы, в которых фиксируются результаты выполнения планов реализации стратегических улучшений СОИБ?

обязательный категория 2

М27.8

Согласуется ли со службой ИБ, санкционируется ли и контролируется ли руководством организации БС РФ деятельность, связанная с реализацией стратегических улучшений СОИБ?

обязательный категория 1

М27.9

В случае стратегических улучшений СОИБ выполняется ли деятельность по реализации соответствующих тактических улучшений СОИБ для всех необходимых процедур обеспечения ИБ, используемых мер защиты и соответствующих внутренних документов, в частности, выполняются ли:

- выработка планов тактических улучшений СОИБ;

- уточнение планов обработки рисков;

- уточнение программы внедрения защитных мер;

- уточнение процедур использования защитных мер?

обязательный категория 3

М27.10

Определены ли, выполняются ли, регистрируются ли и контролируются ли в организации БС РФ процедуры согласования и информирования заинтересованных сторон о стратегических улучшениях СОИБ, в частности об изменениях, относящихся к обеспечению ИБ, к ответственности в области ИБ, к требованиям ИБ?

обязательный категория 1

М27.11

Установлены ли роли и назначены ли ответственные за реализацию решений по стратегическим улучшениям СОИБ в случае их принятия?

обязательный категория 2

Итоговая оценка группового показателя М27

Групповой показатель М28 "Оценка деятельности руководства организации БС РФ по поддержкуфункционирования службы ИБ организации БС РФ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М28.1 (аналог М11.1)

обязательный категория 3

М28.2 (аналог М11.2)

обязательный категория 3

М28.3 (аналог М11.3)

обязательный категория 3

М28.4 (аналог М11.4)

Наделена ли служба ИБ собственным бюджетом?

М28.5 (аналог М11.5)

обязательный категория 1

М28.6 (аналог М11.6)

обязательный категория 3

М28.7 (аналог М11.7)

обязательный категория 3

М28.8 (аналог М11.8)

обязательный категория 3

М28.9 (аналог М11.9)

Наделена ли служба ИБ полномочиями определять требования к мерам обеспечения ИБ организации БС РФ?

обязательный категория 3

М28.10 (аналог М11.10)

обязательный категория 3

М28.11 (аналог М11.11)

Наделена ли служба ИБ полномочиями осуществлять мониторинг событий, связанных с обеспечением ИБ?

обязательный категория 3

М28.12 (аналог М11.12)

обязательный категория 3

М28.13 (аналог М11.13)

обязательный категория 3

М28.14 (аналог М11.15)

обязательный категория 3

Итоговая оценка группового показателя М28

Групповой показатель М29 "Оценка деятельности руководства организации БС РФ по принятию решений о реализации и эксплуатации СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М29.1 (аналог М16.1)

- об анализе и принятии остаточных рисков нарушения ИБ;

- о планировании этапов внедрения СОИБ, в частности требований ИБ, изложенных в разделах 7 и 8 СТО БР ИББС-1.0;

- о распределении ролей в области обеспечения ИБ организации БС РФ;

- о выделении ресурсов, необходимых для реализации и эксплуатации функционирования СОИБ?

обязательный категория 2

М29.2 (аналог М16.2)

- последовательность выполнения мероприятий в рамках указанных планов;

- сроки начала и окончания запланированных мероприятий;

- должностные лица (подразделения), ответственные за выполнение каждого указанного мероприятия?

обязательный категория 2

М29.3 (аналог М16.3)

обязательный категория 2

М29.4 (аналог М16.4)

обязательный категория 2

Итоговая оценка группового показателя М29

Групповой показатель М30 "Оценка деятельности руководства организации БС РФ по поддержкупланирования СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М30.1 (аналог М12.1)

обязательный категория 1

М30.2 (аналог М12.5)

обязательный категория 3

М30.3 (аналог М12.6)

обязательный категория 3

М30.4 (аналог М13.1)

обязательный категория 1

М30.5 (аналог М13.2)

обязательный категория 2

М30.6 (аналог М13.4)

обязательный категория 2

М30.7 (аналог М13.8)

обязательный категория 3

М30.8 (аналог М13.9)

обязательный категория 3

М30.9 (аналог М13.10)

Определены ли в организации БС РФ роли по оценке рисков нарушения ИБ?

обязательный категория 3

М30.10 (аналог М13.11)

Назначены ли ответственные за выполнение ролей по оценке рисков нарушения ИБ?

обязательный категория 3

М30.11 (аналог М14.3)

Утверждены ли руководством организации БС РФ планы обработки рисков нарушения ИБ?

обязательный категория 2

М30.12 (аналог М14.5)

Определены ли в организации БС РФ роли по разработке планов обработки рисков нарушения ИБ?

обязательный категория 3

М30.13 (аналог М14.6)

- цели и задачи обеспечения ИБ;

- основные области обеспечения ИБ;

- типы основных защищаемых информационных активов;

- модели угроз и нарушителей;

- совокупность правил, требований и руководящих принципов в области ИБ;

- основные требования к обеспечению ИБ;

- принципы противодействия угрозам ИБ по отношению к типам основных защищаемых информационных активов;

- основные принципы повышения уровня осознания и осведомленности в области ИБ;

- принципы реализации и контроля выполнения требований политики ИБ?

обязательный категория 2

М30.20 (аналог М15.11)

Корректируются ли в политике ИБ (частных политиках ИБ) организации БС РФ:

- цели и задачи обеспечения ИБ;

- основные области обеспечения ИБ;

- типы основных защищаемых информационных активов;

- модели угроз и нарушителей;

обязательный категория 2

М30.24 (аналог М15.19)

Определены ли в документах организации БС РФ процедуры выделения и распределения ролей в области обеспечения ИБ?

обязательный категория 2

М30.25 (аналог М15.21)

обязательный категория 3

М30.26 (аналог М15.22)

обязательный категория 3

М30.27 (аналог М17.3)

обязательный категория 3

М30.28 (аналог М17.4)

обязательный категория 3

Итоговая оценка группового показателя М30

Групповой показатель М31 "Оценка деятельности руководства организации БС РФ по поддержкуреализации СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М31.1 (аналог М18.1)

обязательный категория 3

М31.2 (аналог М18.2)

обязательный категория 1

М31.3 (аналог М18.7)

обязательный категория 3

М31.4 (аналог М18.8)

обязательный категория 3

М31.5 (аналог М19.7)

обязательный категория 3

М31.6 (аналог М19.8)

обязательный категория 3

М31.7 (аналог М20.3)

- условия активации плана;

- порядок действий, которые должны быть предприняты после инцидента ИБ (инструкции персоналу);

- процедуры восстановления;

- процедуры тестирования и проверки плана;

- план обучения и повышения осведомленности работников организации БС РФ;

обязательный категория 2

М31.8 (аналог М20.12)

обязательный категория 3

М31.9 (аналог М20.13)

обязательный категория 3

Итоговая оценка группового показателя М31

Групповой показатель М32 "Оценка деятельности руководства организации БС РФ по поддержкупроверки СОИБ"

Обозначение частного показателя ИБ Частный показатель ИБ Обязательность выполнения Категория проверки частного показателя Оценка частного показателя ИБ 0 0,25 0,5 0,75 1 н/о М32.1 (аналог М21.5)

обязательный категория 3

М32.2 (аналог М21.6)

обязательный категория 3

М32.3 (аналог М22.4)

обязательный категория 1

М32.4 (аналог М22.8)

Доводятся ли результаты самооценок ИБ и соответствующие отчеты до руководства организации БС РФ?

обязательный категория 3

М32.5 (аналог М22.9)

Определены ли в организации БС РФ роли, связанные с выполнением программы самооценок ИБ?

обязательный категория 3

М32.6 (аналог М22.10)

обязательный категория 3

М32.7 (аналог М22.11, М23.10)

Проводится ли в организации БС РФ оценка соответствия ИБ в виде или самооценки ИБ аудита ИБ не реже одного раза в два года?

- мониторинга ИБ и контроля защитных мер;

- анализа функционирования СОИБ;

- аудитов ИБ;

- самооценок ИБ?

обязательный категория 3

М33.3 (аналог М25.3)

- о новых, выявленных уязвимостях и угрозах ИБ;

- о действиях, предпринятых по итогам предыдущих анализов СОИБ, осуществленных руководством;

- об изменениях, которые могли бы повлиять на организацию СОИБ, например, изменения в законодательстве РФ и (или) в положениях стандартов Банка России;

обязательный категория 2

М34.4 (аналог М27.11)

обязательный категория 2

Итоговая оценка группового показателя М34

Источник - Распоряжение Банка России от 17.05.2014 № Р-399

Cкачать образец документа «Показатели информационной безопасности организаций банковской системы Российской Федерации (обязательная форма)» (261,8 кб)

Похожие документы

Понравилось ?

Поблагодари!

Показатели информационной безопасности организаций банковской системы Российской Федерации (обязательная форма)

ПОКАЗАТЕЛИ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Групповой показатель М1 "Обеспечение информационной безопасности при назначении и распределении ролей и обеспечении доверия к персоналу"

обязательный категория 1

М1.2

рекомендуемый категория 1

М1.3

обязательный категория 1

М1.4

обязательный категория 2

М1.5

обязательный категория 2

М1.6

обязательный категория 1

М1.7

обязательный категория 1

М1.8

обязательный категория 1

М1.9

обязательный категория 1

М1.10

обязательный категория 1

М1.11

обязательный категория 1

М1.12

обязательный категория 1

М1.13

обязательный категория 2

М1.14

рекомендуемый категория 1

М1.15

рекомендуемый категория 2

М1.16

рекомендуемый категория 1

М1.17

рекомендуемый категория 2

М1.18

обязательный категория 3

М1.19

обязательный категория 2

М1.20

обязательный категория 2

М1.21

обязательный категория 1

Групповой показатель М2 "Обеспечение информационной безопасности автоматизированных банковских систем на стадиях жизненного цикла"

обязательный категория 1

М2.2

обязательный категория 1

М2.3

обязательный категория 3

М2.4

обязательный категория 3

М2.5

обязательный категория 1

М2.6

обязательный категория 2

М2.7

рекомендуемый категория 1

М2.8

обязательный категория 3

М2.9

обязательный категория 3

М2.10

обязательный категория 1

М2.11

обязательный категория 1

М2.12

обязательный категория 1

М2.13

обязательный категория 3

М2.14

обязательный категория 1

М2.15

обязательный категория 1

М2.16

обязательный категория 1

М2.17

обязательный категория 1