Куда я попал?
SECURITM это система для корпоративных служб информационной безопасности, которая автоматизирует ключевые процессы управления: контроль соответствия требованиям, управление рисками, учет активов, планирование работ, задачи, технические уязвимости, опросы и т.д.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.

SWIFT Customer Security Controls Framework v2022

Framework

7 - 7.2 Security Training and Awareness

Для проведения оценки соответствия по документу войдите в систему.
7.2 Security Training and Awareness
Обязательно для типа архитектуры A1 A2 A3 A4 B
Область требования: Работник
Control Definition 

Control Objective: Ensure all staff are aware of and fulfil their security responsibilities by performing regular awareness activities, and maintain security knowledge of staff with privileged access. 

In-scope components: 
  • All staff (such as employees, agents, consultants and contractors) with access to SWIFT-related systems (as user or for maintenance or administration) 
  • All staff (such as employees, agents, consultants and contractors) with privileged access to SWIFTrelated systems (for maintenance or administration) 
Risk Drivers: 
  • increased security risk from improperly trained staff 
Implementation Guidance 

Control Statement: 
Annual security awareness sessions are conducted for all staff members with access to SWIFT-related systems. All staff with privileged access maintain knowledge through specific training or learning activities when relevant or appropriate (at management’s discretion). 

Control Context: 
A security training and awareness programme encourages conscious and appropriate security behaviour of employees and administrators, and generally reinforces good security practice. In addition, it is particularly important that privileged access users have and maintain appropriate knowledge and expertise. 

Implementation Guidelines: 
The implementation guidelines are common methods to apply the relevant control. The guidelines are a helpful way to begin an assessment, but should never be considered as an "audit checklist" as each user’s implementation may vary. Therefore, in cases where some implementation guidelines elements are not present or partially covered, mitigations as well as particular environment specificities must be considered to properly assess the overall compliance adherence level (as per the suggested guidelines 
or as per the alternatives). 
  • All staff with access to SWIFT-related systems complete annual security awareness or training. Topics may include: 
    • SWIFT-related products and services training (for example, through SWIFTSmart which is available to all users) 
    • Cyber-security threat awareness within the financial services industry or relevant to the staff member's role and responsibilities 
    • Risks related to internet usage or deployment in the cloud 
    • Password security and management 
    • Device security 
    • Safe operating habits (for example, spam and phishing, including “spear 40” phishing identification, downloading files, browsing practices) 
    • Reporting of suspicious events and activities 
    • Internal or external programme that optionally allows staff to obtain and maintain certification.
  • In addition, all staff with privileged access maintain their knowledge and expertise in line with their role and responsibilities by considering training or other learning activities that may include topics like: 
    • Cyber risks awareness linked to their technologic or SWIFT-related environment (for example, through IOCs published by SWIFT) to develop best practice and processes 
    • Administering and securing devices and other used systems 
    • Detection and response to cyber incidents in line with the organisation's response plan 
    • Internal or external programme that optionally allows staff to obtain and maintain certification. 
  • Training is delivered through the most appropriate channel, including computer-based training, classroom training, and webinars. 
Optional Enhancement: 
  • Social engineering testing, including fake phishing e-mail campaigns, is performed to challenge and enhance security awareness.

Похожие требования

ГОСТ Р № 57580.1-2017 от 01.01.2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 8. Требования к организации и управлению защитой информации":
РЗИ.15
РЗИ.15 Обучение, практическая подготовка (переподготовка) работников финансовой организации, ответственных за применение мер защиты информации в рамках процесса защиты информации
РЗИ.16
РЗИ.16 Повышение осведомленности (инструктаж) работников финансовой организации в области реализации процесса защиты информации, применения организационных мер защиты информации, использования по назначению технических мер защиты информации
Стандарт Банка России № СТО БР ИББС-1.0-2014 от 01.06.2014 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации - Общие положения":
Р. 8 п. 9 п.п. 1
8.9.1. Должна быть организована санкционированная руководством организации БС РФ работа с персоналом и клиентами в направлении повышения осведомленности и обучения в области ИБ. 
Р. 8 п. 9 п.п. 6
8.9.6. Для работника, получившего новую роль, должно быть организовано обучение или инструктаж в области ИБ, соответствующее полученной роли. 
Р. 8 п. 11 п.п. 8
8.11.8. В организации БС РФ должна быть реализована программа обучения и повышения осведомленности работников в области обеспечения непрерывности бизнеса и его восстановления после прерываний. 
Р. 8 п. 9 п.п. 4
8.9.4. Программы обучения и повышения осведомленности должны разрабатываться для различных групп сотрудников с учетом их должностных обязанностей и выполняемых ролей и включать информацию:
  • по существующим политикам ИБ;
  • по применяемым в организации БС РФ защитным мерам;
  • по правильному использованию защитных мер в соответствии с внутренними документами организации БС РФ;
  • о значимости и важности деятельности работников для обеспечения ИБ организации БС РФ. 
CIS Critical Security Controls v8 (The 18 CIS CSC):
14.6
14.6 Train Workforce Members on Recognizing and Reporting Security Incidents
Train workforce members to be able to recognize a potential incident and be able to report such an incident. 
14.3
14.3 Train Workforce Members on Authentication Best Practices
Train workforce members on authentication best practices. Example topics include MFA, password composition, and credential management. 
NIST Cybersecurity Framework (RU):
PR.AT-1
PR.AT-1: Все пользователи проинформированы и обучены 
ГОСТ Р № ИСО/МЭК 27001-2021 от 01.01.2022 "Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования - Приложение А":
A.7.2.2
A.7.2.2  Осведомленность, обучение и практическая подготовка (тренинги) в области информационной безопасности 
Мера обеспечения информационной безопасности: Все работники организации и при необходимости подрядчики должны быть надлежащим образом обучены, практически подготовлены и на регулярной основе осведомлены об обновлениях политик и процедур информационной безопасности организации, необходимых для выполнения их функциональных обязанностей 
CIS Critical Security Controls v7.1 (SANS Top 20):
CSC 17.5 CSC 17.5 Train Workforce on Secure Authentication
Train workforce members on the importance of enabling and utilizing secure authentication.
CSC 17.9 CSC 17.9 Train Workforce Members on Identifying and Reporting Incidents
Train workforce members to be able to identify the most common indicators of an incident and be able to report such an incident.
Приказ ФСТЭК России № 31 от 14.03.2014 "Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления":
ИПО.2 ИПО.2 Обучение персонала правилам безопасной работы
ДНС.2 ДНС.2 Обучение и отработка действий персонала в нештатных ситуациях
NIST Cybersecurity Framework (EN):
PR.AT-1 PR.AT-1: All users are informed and trained
Приказ ФСТЭК России № 239 от 25.12.2017 "Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости":
ДНС.2 ДНС.2 Обучение и отработка действий персонала в нештатных ситуациях
ИПО.2 ИПО.2 Обучение персонала правилам безопасной работы

Связанные защитные меры

Название Дата Влияние
Community
11 / 15
Проведение обучающих мероприятий по информационной безопасности
Разово Организационная
08.05.2022
08.05.2022 11 / 15
Цель: повышение осведомленности работников.

Выполнять регулярные мероприятия по повышению осведомленности, а также поддерживать знания в области безопасности.

Варианты реализации:
  • Очные или дистанционные курсы;
  • Разовые встречи или вебинары;
  • Непрерывное (регулярное) обучение;
  • Платформы для обучения (например, Kaspersky Automated Security Awareness Platform).
Проведение рассылок по информационной безопасности выделено в отдельную защитную меру.

Обучение может затрагивать:
  • Только технический персонал, пользователей с привилегированными правами в информационных системах;
  • Работников допущенных к конфиденциальной информации и в ключевые системы компании;
  • Всех работников.
Для обучения должна быть определена периодичность. Дополнительное обучение может назначаться в результате инцидентов безопасности, смены должности работника.

Рекомендации к заполнению карточки:
  • Описать в карточке кого из работников обучают, с какой периодичностью, каким образом;
  • Если разработаны отдельные документы (программа, план обучения) - привести на них ссылки;
  • Добавить шаблон регулярной задачи по проведению обучения.
Community
1 8 / 71
Доведение до новых работников документов по информационной безопасности
По событию Вручную Организационная Удерживающая
28.10.2021
28.10.2021 1 8 / 71
Цель: Ознакомление с действующими в компании документами по информационной безопасности (политики, положения, обязательства) под подпись при трудоустройстве.

Варианты реализации, в зависимости от специфики организации:
  • В момент трудоустройства и подписания трудового договора (в кадровом подразделении);
  • После трудоустройства в службе безопасности или информационных технологий;
  • После трудоустройства на рабочем месте (ответственность непосредственного руководителя).
Рекомендации к заполнению карточки:
  • Зафиксировать ответственное за сбор подписей подразделение и место хранения реестров с подписями.
  • Добавить шаблон регулярной контрольной задачи по проверке наличия реестров с подписями
Community
4 5 / 58
Подписание работниками обязательств о конфиденциальности
Разово Вручную Организационная Удерживающая
12.10.2021
12.10.2021 4 5 / 58
Цель: закрепление за работниками ответственности за нарушения информационной безопасности.
 
Обязательство о конфиденциальности - минималистичный (в идеале одностраничный) документ который подписывает работник.
Документ формулируется от первого лица: я обязуюсь..., я уведомлен..., я согласен....
Обязательство следует делать универсальным документом, закрывающим различные требования по безопасности: коммерческая тайна, персональные данные, легитимизация систем защиты и мониторинга, материальная ответственность и т.д.

Варианты утверждения:
  • Как самостоятельный документ, отдельным приказом;
  • Как часть другого документа, например, Положения о коммерческой тайне.
Варианты распространения:
  • Первичный сбор обязательств осуществляется руководителями подразделений, канцелярией, службой документооборота;
  • Подписание обязательств новыми работниками осуществляется службой персонала в процессе оформления трудоустройства. 
Варианты контроля:
  • Контроль наличия обязательств осуществляется службой информационной безопасности в рамках внутреннего аудита подразделений;
  • Контроль подписания обязательств возлагается на кадровые подразделения или руководителей подразделений.
Рекомендации к заполнению карточки:
  • Приложить к карточке шаблон обязательства, подписываемого работниками, или ссылку на содержащий его документ;
  • Добавить шаблон регулярной контрольной задачи на проверку наличия подписанных обязательств, если контроль не осуществляется в рамках иной защитной меры.
Community
1 1 / 17
Добавление предупреждений к письмам от внешних отправителей
Постоянно Автоматически Техническая Удерживающая
26.05.2021
26.05.2021 1 1 / 17
Цель: предупреждение пользователей о возможных вредоносных вложениях или фишинге. 

Ко всем поступающим из вне письмам (от внешних отправителей) добавляется в заголовок письма предупреждение. Например:
ВНИМАНИЕ! Письмо было отправлено внешним отправителем. Не переходите по ссылкам и не открывайте вложения, пока не убедитесь, что это безопасно.

Настраивается на MTA, почтовом сервере, специализированном средстве защиты электронной почты.

Важно убедиться, что из вне не могут приходить поддельные письма от корпоративных почтовых доменов, иначе защитная мера будет неэффективна. Реализуется отдельной защитной мерой по безопасной конфигурации почтовых серверов (DKIM и настройки правил обработки почты).
Community
1 6 / 22
Проведение рассылки по информационной безопасности
Еженедельно Вручную Организационная Удерживающая
11.05.2021
11.05.2021 1 6 / 22
Цель: повышение осведомленности персонала.

Проведение информационной рассылки является базовой мерой повышения осведомленности персонала в вопросах ИБ.
Ключевым недостатком информационной рассылки является то, что работники могут пренебрегать ее изучением. Чтобы снизить этот недостаток рассылку следует проводить в максимально дружественной к работнику форме, без бюрократизированных фраз, с картинками и цветовыми акцентами.
В рассылке следует чередовать вопросы корпоративной ИБ и личной безопасности работников (работа с банковскими мошенниками, защита личных устройств и домашнего ПК), чтобы повысить ее ценность для работников.
В случае появления инцидентов безопасности и иных событий в компании, которые можно разобрать в рассылке, это следует делать чтобы работники воспринимали вопросы ИБ как реальность а не абстрактные рекомендации. Например, рассылка о фишинговой атаке на компанию, статистика по взломанным паролям пользователей компании, по вирусным заражениям и их основным источникам.

В заметке к мере приведены примеры тем для информационных рассылок.

Инструкция
  1. Проработать тему новой рассылки с учетом:
    1. Тем предыдущих рассылок
    2. Произошедших инцидентов безопасности
    3. Ситуации в мире (громкие инциденты в отрасли и на рынке) 
  2. Подготовить (написать) рассылку
  3. Разослать всем работникам
  4. По завершении задачи отразить тему проведенной рассылки в отчете
Рекомендации к заполнению карточки:
  • В заметке к мере прикрепить шаблон информационного письма для рассылки;
  • Создать шаблон регулярной задачи по проведению рассылки;
  • В отчете по исполнению задач указывать название проведенной рассылки.
Community
2 3 / 33
Введение режима коммерческой тайны (приказом)
Разово Вручную Организационная Удерживающая
16.05.2020
08.05.2022 2 3 / 33
Цель: закрепление обязательств сотрудников организации по выполнению требований информационной безопасности.

В соответствии с Статьей 6.1 98-ФЗ "О коммерческой тайне" режим коммерческой тайны должен устанавливаться, изменяться, отменяться в письменной форме. Допустимо введение режима не самостоятельным приказом, а в рамках утверждения Положения о коммерческой тайне.

Рекомендации к заполнению карточки:
  • Привести ссылку на утвержденный приказ;
  • Описать как организовано доведение приказа до действующих и новых работников, если это не реализовано отдельной защитной мерой
Community
2 1 / 17
Разработка Положения о коммерческой тайне
Разово Вручную Организационная
16.05.2020
08.05.2022 2 1 / 17
Цель: закрепление обязательств сотрудников организации по выполнению требований информационной безопасности.

Положение о коммерческой тайне должно регулировать ключевые требования к режиму коммерческой тайны, установленные 98-ФЗ "О коммерческой тайне". Положение может включать так же:

  1. Перечень информации, составляющей коммерческую тайну, 
  2. Форму Обязательства о конфиденциальности (для работников), 
  3. Форму Соглашения о конфиденциальности (для контрагентов)
  4. Иные документы
Разработка Положения является основой для введения в компании режима коммерческой тайны.

Рекомендации к заполнению карточки:
  • Привести ссылку на утвержденный документ;
  • Создать шаблон регулярной задачи на пересмотр/актуализацию документа