IBBS-1-0-2006 (1027734), страница 10
Текст из файла (страница 10)
Цель аудита ИБ организации состоит в проверке и оценке соответствия ИБ требованиям настоящего стандарта. Заключение по результатам проведения аудита ИБ организациидолжно показывать:— текущий уровень ИБ организации;— уровень зрелости процессов менеджмента ИБ организации;— уровень осознания ИБ организации.10.4. При проведении аудита ИБ организации должны использоваться стандартные процедуры документальной проверки, опрос и интервью с руководством и персоналом организации. При необходимости уточнения результатов документальной проверки, опросов и интервью в рамках внутреннего аудита ИБ в качестве дополнительного способа может применяться“проверка на месте”, которая проводится для обеспечения уверенности в том, что конкретныезащитные меры реализуются, правильно используются и проверяются с помощью тестирования.
Обстоятельства, при которых требуется дополнительный способ в рамках внутреннего аудита ИБ, должны быть определены и согласованы в плане проведения аудита ИБ в организации.10.5. При проведении внутреннего аудита ИБ могут использоваться журналы регистрации инцидентов ИБ, ведущиеся службами безопасности организации и формируемые на основе данных мониторинга ИБ.10.6. При проведении внешнего аудита ИБ руководство организации должно обеспечитьдокументальное и, если это необходимо, техническое подтверждение того, что:— политика ИБ отражает требования бизнеса и цели организации;— организационная структура управления ИБ создана;— процессы выполнения требований ИБ исполняются и удовлетворяют поставленным целям;— защитные меры (например, межсетевые экраны, средства управления физическим доступом) настроены и используются правильно;— остаточные риски оценены и остаются приемлемыми для организации;— система управления ИБ соответствует определенному уровню зрелости управления ИБ;— рекомендации предшествующих аудитов ИБ реализованы.10.7.
Аудиторский отчет должен храниться в организации в течение установленного времени. Доступ к аудиторскому отчету должен быть разрешен только руководству организации ируководителям подразделения (лицам), ответственным за ИБ в организации.10.8. Хорошей практикой подготовки к аудиту ИБ и проверки уровня ИБ организации БС РФявляется проведение самооценки ИБ. Самооценка ИБ проводится собственными силами и поинициативе руководства организации. При проведении самооценки ИБ должны использоваться журналы регистрации инцидентов ИБ, ведущиеся службами безопасности организации иформируемые на основе данных мониторинга ИБ, проверяться эффективность реализованныхзащитных мер путем тестовых проверок (могут быть проверки на проникновение).10.9.
Мониторинг ИБ должен проводиться персоналом организации, ответственным заИБ, с целью обнаружения и регистрации отклонений функционирования защитных мер от требований ИБ и оценки полноты реализации положений политики ИБ, инструкций и руководствобеспечения ИБ в организации.Основными целями мониторинга ИБ в организации являются оперативное и постоянноенаблюдение, сбор, анализ и обработка данных под заданные руководством цели.
Такими целями анализа могут быть:— контроль за реализацией положений нормативных актов по обеспечению ИБ в организации;— выявление нештатных (или злоумышленных) действий в АБС организации;— выявление инцидентов ИБ.Для целей оперативного и постоянного наблюдения объектов мониторинга могут использоваться как специализированные (например, программные) средства, так и штатные (входящие в коммерческие продукты и системы) средства регистрации действий пользователей, процессов и т.п.26СТО БР ИББС1.0200611. Ìîäåëü çðåëîñòè ïðîöåññîâ ìåíåäæìåíòàèíôîðìàöèîííîé áåçîïàñíîñòè îðãàíèçàöèè ÁÑ ÐÔ11.1.
Модель зрелости является мерой оценки полноты, адекватности и эффективностипроцессов менеджмента ИБ.11.2. Уровень проработанности процессов менеджмента ИБ определяется тем, насколько полно и последовательно менеджмент организации руководствуется принципами ИБ, реализует политики и требования ИБ, использует накопленный опыт и совершенствует СМИБ.11.3. Оценка зрелости процессов менеджмента ИБ организации основывается на рассмотрении совокупности параметров для каждого из этих процессов, отражающих достижение тогоили иного уровня зрелости данного процесса.11.4. Модель зрелости процессов менеджмента ИБ организации настоящего стандартаосновывается на универсальной модели зрелости процессов, определенной стандартом COBIT,которая определяет шесть уровней зрелости организации — с нулевого по пятый.Нулевой уровень характеризует полное отсутствие какихлибо процессов менеджментаИБ в рамках деятельности организации. Организация не осознает существования проблем ИБ.Первый уровень (“начальный”) характеризует наличие документально зафиксированныхсвидетельств осознания организацией существования проблем обеспечения ИБ.
Однако используемые процессы менеджмента ИБ нестандартизованы, применяются эпизодически и бессистемно. Общий подход к менеджменту ИБ не выработан.Второй уровень (“повторяемый”) характеризует проработанность процессов менеджментаИБ до уровня, когда их выполнение обеспечивается различными людьми, решающими одну и туже задачу. Однако отсутствуют регулярное обучение и тренировки по стандартным процедурам, а ответственность возложена на исполнителя.
Руководство организации в значительнойстепени полагается на знания исполнителей, что влечет за собой высокую вероятность возможных ошибок.Третий уровень (“определенный”) характеризует то, что процессы стандартизованы, документированы и доведены до персонала посредством обучения. Однако порядок использования данных процессов оставлен на усмотрение самого персонала. Это определяет вероятностьотклонений от стандартных процедур, которые могут быть не выявлены. Применяемые процедуры не оптимальны и недостаточно современны, но являются отражением практики, используемой в организации.Четвертый уровень (“управляемый”) характеризует то, что обеспечиваются мониторинг иоценка соответствия используемых в организации процессов. При выявлении низкой эффективности реализуемых процессов менеджмента ИБ обеспечивается их оптимизация.
Процессыменеджмента ИБ находятся в стадии непрерывного совершенствования и основываются на хорошей практике. Средства автоматизации менеджмента ИБ используются частично и в ограниченном объеме.Пятый уровень (“оптимизированный”) характеризует проработанность процессов менеджмента ИБ до уровня лучшей практики, основанной на результатах непрерывного совершенствования и сравнения уровня зрелости относительно других организаций.
Защитные меры в организации используются комплексно, обеспечивая основу совершенствования процессов менеджмента ИБ. Организация способна к быстрой адаптации при изменениях в окружении и бизнесе.11.5. Рекомендуемыми уровнями зрелости процессов менеджмента ИБ для организаций,способными обеспечить качественное предоставление основного набора банковских услуг, являются уровни не ниже четвертого.11.6. Достижение четвертого уровня зрелости процессов менеджмента ИБ характеризуется следующими параметрами:— разработана и совершенствуется нормативная и распорядительная документация по ИБ(политика ИБ, регламенты и положения ИБ, должностные инструкции персонала и т.п.);— создана организационная структура управления ИБ.
Четко определена ответственностьперсонала за деятельность, связанную с обеспечением ИБ;— финансирование ИБ осуществляется по отдельной статье бюджета организации;— есть назначенный куратор службы ИБ;— осуществляется приобретение необходимых средств обеспечения ИБ;— защитные меры (технические, технологические, организационные) встроены в АБС и банковские технологические процессы, непрерывно совершенствуются и основываются нахорошей практике.
В процессе внедрения защитных мер используется анализ затрат ирезультатов, обеспечивается их оптимизация;СТО БР ИББС1.0200627— последовательно выполняется анализ ИБ организации и рисков нарушения ИБ, а такжевозможных негативных воздействий;— краткие занятия с работниками организации по вопросам обеспечения ИБ носят обязательный характер;— введена аттестация персонала по вопросам обеспечения безопасности;— проверки на возможность вторжения в АБС являются стандартизованным и формализованным процессом;— осуществляется оценка соответствия организации требованиям ИБ;— стандартизованы идентификация, аутентификация и авторизация пользователей.
Защитные меры совершенствуются с учетом накопленного в организации практического опыта;— уровень стандартизации и документирования процессов управления ИБ позволяет проводить аудит ИБ в достаточном объеме;— процессы обеспечения ИБ координируются со службой безопасности всей организации;— деятельность по обеспечению ИБ увязана с целями бизнеса;— руководство организации понимает проблемы ИБ и участвует в их решении через назначенного куратора службы ИБ из состава высшего руководства организации.11.7. Результаты оценки зрелости каждого из процессов менеджмента ИБ должны учитываться в общем итоговом рейтинге зрелости организации.12.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
