st-10-xx (1027738), страница 7
Текст из файла (страница 7)
На стадии тестирования должна обеспечиваться анонимность данных ипроверка адекватности разграничения доступа.7.3.8. На стадии эксплуатации АБС должны быть документально определены ивыполняться процедуры контроля работоспособности (функционирования, эффективности) реализованных в АБС защитных мер. Результаты выполнения контроля должныдокументироваться.7.3.9. На стадии сопровождения (модернизации) должны быть документальноопределены и выполняться процедуры контроля, обеспечивающие защиту от:– умышленного несанкционированного раскрытия, модификации или уничтожения информации;– неумышленной модификации, раскрытия или уничтожения информации;– отказа в обслуживании или ухудшения обслуживания.Результаты выполнения контроля должны документироваться.7.3.10.
На стадии сопровождения (модернизации) при любом внесении изменения в АБС должны проводиться процедуры проверки функциональности, результатыкоторой должны документально фиксироваться.7.3.11. На стадии снятия с эксплуатации должны быть документально определены и выполняться процедуры, обеспечивающие удаление информации, несанкционированное использование которой может нанести ущерб бизнес–деятельности организации, и информации, используемой средствами обеспечения ИБ, из постоянной памяти АБС и с внешних носителей, за исключением архивов электронных документов ипротоколов электронного взаимодействия, ведение и сохранность которых в течениеопределенного срока предусмотрено соответствующими нормативными и(или) договорными документами.
Результаты выполнения процедур должны документироваться.7.4. Общие требования по обеспечению информационнойбезопасности при управлении доступом и регистрации7.4.1. Должен быть документально определен перечень информационных активов (их типов) организации БС РФ. Права доступа работников и клиентов организацииБС РФ к данным активам должны быть документально зафиксированы.7.4.2. В составе АБС должны применяться встроенные защитные меры, а такжерекомендуются к использованию сертифицированные или разрешенные руководствоморганизации БС РФ к применению средства защиты информации от НСД и НРД.7.4.3. В организации БС РФ должны быть документально определены и утверждены руководством, выполняться и контролироваться процедуры идентификации, аутентификации, авторизации; управления доступом; контроля целостности; регистрациисобытий и действий.Процедуры управления доступом должны исключать возможность «самосанкционирования».Результаты контроля процедур должны документироваться.7.4.4.
В организации БС РФ необходимо документально определить процедурымониторинга и анализа данных регистрации, действий и операций, позволяющие выявлять неправомерные или подозрительные операции и транзакции. Для проведенияпроект 11.05.2010СТО БР ИББС–1.0–20хх25процедур мониторинга и анализа данных регистрации, действий и операций рекомендуется использовать специализированные программные и(или) технические средства.Процедуры мониторинга и анализа должны использовать документально определенные критерии выявления неправомерных или подозрительных действий и операций.
Указанные процедуры мониторинга и анализа должны применяться на регулярной основе, например, ежедневно, ко всем выполненным операциям и транзакциям.7.4.5. Порядок доступа работников организации БС РФ в помещения, в которыхразмещаются объекты среды информационных активов, должен быть регламентирован во внутренних документах организации БС РФ, а его выполнение должно контролироваться.Результаты контроля выполнения порядка доступа должны оформляться документально.7.4.6. Используемые в организации БС РФ АБС, в том числе, системы дистанционного банковского обслуживания должны обеспечивать, среди прочего, возможностьрегистрации:– операций с данными о клиентских счетах, включая операции открытия, модификации и закрытия клиентских счетов;– проводимых транзакций, имеющих финансовые последствия;– операций, связанных с назначением и распределением прав пользователей.7.4.7.
Системы дистанционного банковского обслуживания должны реализовывать защитные меры, обеспечивающие невозможность отказа от авторства проводимых клиентами операций и транзакций, например, ЭЦП.Протоколам операций, выполняемых посредством систем дистанционного банковского обслуживания, рекомендуется придать свойство юридической значимости, например, путем внесения соответствующих положений в договоры на дистанционноебанковское обслуживание.7.4.8. При заключении договоров со сторонними организациями рекомендуетсяюридическое оформление договоренностей, предусматривающих необходимый уровень взаимодействия, в случае выхода инцидента ИБ за рамки отдельной организацииБС РФ. Примером такого взаимодействия может служить приостановка выполненияраспределенной между несколькими организациями транзакции в случае, если имеющиеся данные мониторинга и анализа протоколов операций позволяют предположить,что выполнение данной транзакции является частью замысла злоумышленников.7.4.9.
Должны быть документально оформлены и доведены до сведения работников и клиентов организации БС РФ процедуры, определяющие действия в случаекомпрометации информации, необходимой для их идентификации, аутентификациии(или) авторизации, в том числе произошедшей по их вине, включая информацию оспособах распознавания таких случаев.Эти процедуры должны предусматривать документирование работниками и клиентами всех своих действий и их результатов.7.4.10.
В системах дистанционного банковского обслуживания должны быть реализованы механизмы информирования (регулярного, непрерывного или по требованию) клиентов обо всех операциях, совершаемых от их имен.7.4.11. В организации БС РФ должны применяться защитные меры, направленные на обеспечение защиты от НСД и НРД, повреждения или нарушения целостностиинформации, необходимой для регистрации, идентификации, аутентификации и(или)авторизации клиентов и работников организации БС РФ.
Все попытки НСД и НРД к такой информации должны регистрироваться. При увольнении или изменении должностных обязанностей работников организации БС РФ, имевших доступ к указанной инпроект 11.05.201026СТО БР ИББС–1.0–20ххформации, необходимо выполнить документированные процедуры соответствующегопересмотра прав доступа.7.4.12. Работа всех пользователей АБС должна осуществляться под уникальными учетными записями.7.5. Общие требования по обеспечению информационнойбезопасности средствами антивирусной защиты7.5.1. На всех автоматизированных рабочих местах и серверах АБС организацииБС РФ, если иное не предусмотрено технологическим процессом, должны применятьсясредства антивирусной защиты.Процедуры установки и регулярного обновления средств антивирусной защиты(версий и баз данных) на автоматизированных рабочих местах и серверах АБС должныбыть документированы и осуществляться администраторами АБС или иными официально уполномоченными лицами.Рекомендуется организовать автоматический режим установки обновлений антивирусного программного обеспечения и его баз данных.Установка и обновление антивирусных средств в организации должны контролироваться представителями подразделения (лицами) в организации, ответственными заобеспечение ИБ.7.5.2.
В организации БС РФ рекомендуется организовать функционирование постоянной антивирусной защиты в автоматическом режиме.7.5.3. Должны быть разработаны и введены в действие инструкции по антивирусной защите, учитывающие особенности банковских технологических процессов.7.5.4. В организации БС РФ должна быть организована антивирусная фильтрация всего трафика электронного почтового обмена.7.5.5. Рекомендуется организовать построение эшелонированной централизованной системы антивирусной защиты, предусматривающей использование средствантивирусной защиты различных производителей и их раздельную установку на рабочих станциях, почтовых серверах и межсетевых экранах.7.5.6.
Должны быть документально определены и выполняться процедуры предварительной проверки устанавливаемого или изменяемого программного обеспеченияна отсутствие вирусов. После установки или изменения программного обеспечениядолжна быть выполнена антивирусная проверка. Результаты установки, измененияпрограммного обеспечения и антивирусной проверки должны документироваться.7.5.7. Должны быть документально определены процедуры, выполняемые в случае обнаружения компьютерных вирусов, в которых, в частности, необходимо зафиксировать:– необходимые меры по отражению и устранению последствий вирусной атаки;– порядок официального информирования руководства;– порядок приостановления, при необходимости, работы (на период устраненияпоследствий вирусной атаки).7.5.8. Должны быть документально определены и выполняться процедуры контроля за отключением и обновлением антивирусных средств на всех автоматизированных рабочих местах и серверах АБС.
Результаты контроля должны документироваться.7.5.9. Ответственность за выполнение требований по антивирусной защитедолжна быть возложена на руководителя функционального подразделения организапроект 11.05.2010СТО БР ИББС–1.0–20хх27ции БС РФ, а обязанности по выполнению предписанных мер антивирусной защитыдолжны быть возложены на каждого работника организации, имеющего доступ к ЭВМи(или) АБС.7.6.
Общие требования по обеспечению информационнойбезопасности при использовании ресурсов сети Интернет7.6.1. Решение об использовании сети Интернет для производственной и(или)собственной хозяйственной деятельности должно документально приниматься руководством организации БС РФ. При этом цели использования сети Интернет должны бытьявно перечислены, например, сеть Интернет в организации БС РФ может использоваться для:– ведения дистанционного банковского обслуживания;– получения и распространения информации, связанной с банковской деятельностью (например, путем создания информационных web-сайтов организации БС РФ);– информационно-аналитической работы в интересах организации;– обмена электронными сообщениями, например почтовыми.Использование сети Интернет в неустановленных целях должно быть запрещено.С целью ограничения использования сети Интернет в неустановленных целях ворганизации БС РФ рекомендуется провести выделение ограниченного числа пакетов,содержащих перечень сервисов и ресурсов сети Интернет, доступных для пользователей.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
