Куда я попал?
Положение Банка России № 787-П от 12.01.2022
Обязательные для кредитных организаций требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг
п. 6. п.п. 5
Для проведения оценки соответствия по документу войдите в систему.
Список требований
Похожие требования
ГОСТ Р № 57580.1-2017 от 01.01.2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 9. Требования к защите информации на этапах жизненного цикла автоматизированных систем и приложений":
ЖЦ.14
ЖЦ.14 Реализация контроля защищенности АС, включающего (по решению финансовой организации при модернизации АС проводится контроль защищенности только элементов информационной инфраструктуры, подвергнутых модернизации): - тестирование на проникновение; - анализ уязвимостей системы защиты информации АС и информационной инфраструктуры промышленной среды
3-Н 2-О 1-О
3-Н 2-О 1-О
CIS Critical Security Controls v8 (The 18 CIS CSC):
18.5
18.5 Perform Periodic Internal Penetration Tests
Perform periodic internal penetration tests based on program requirements, no less than annually. The testing may be clear box or opaque box.
Perform periodic internal penetration tests based on program requirements, no less than annually. The testing may be clear box or opaque box.
18.2
18.2 Perform Periodic External Penetration Tests
Perform periodic external penetration tests based on program requirements, no less than annually. External penetration testing must include enterprise and environmental reconnaissance to detect exploitable information. Penetration testing requires specialized skills and experience and must be conducted through a qualified party. The testing may be clear box or opaque box.
Perform periodic external penetration tests based on program requirements, no less than annually. External penetration testing must include enterprise and environmental reconnaissance to detect exploitable information. Penetration testing requires specialized skills and experience and must be conducted through a qualified party. The testing may be clear box or opaque box.
18.1
18.1 Establish and Maintain a Penetration Testing Program
Establish and maintain a penetration testing program appropriate to the size, complexity, and maturity of the enterprise. Penetration testing program characteristics include scope, such as network, web application, Application Programming Interface (API), hosted services, and physical premise controls; frequency; limitations, such as acceptable hours, and excluded attack types; point of contact information; remediation, such as how findings will be routed internally; and retrospective requirements.
Establish and maintain a penetration testing program appropriate to the size, complexity, and maturity of the enterprise. Penetration testing program characteristics include scope, such as network, web application, Application Programming Interface (API), hosted services, and physical premise controls; frequency; limitations, such as acceptable hours, and excluded attack types; point of contact information; remediation, such as how findings will be routed internally; and retrospective requirements.
ГОСТ Р № 57580.3-2022 от 01.02.2023 "Безопасность финансовых (банковских) операций. Управление риском реализации информационных угроз и обеспечение операционной надежности. Общие положения.":
УПК.9.4
УПК.9.4 Результатов сценарного анализа и тестирования готовности финансовой организации противостоять реализации информационных угроз;
Russian Unified Cyber Security Framework (на основе The 18 CIS CSC):
18.2
18.2 Реализовано регулярное проведение внешнего тестирования на проникновение
Проводить периодические внешние тесты на проникновение в соответствии с требованиями программы, не реже одного раза в год. Внешнее тестирование на проникновение должно включать в себя разведку предприятия и окружающей среды для обнаружения информации, пригодной для использования. Тестирование на проникновение требует специальных навыков и опыта и должно проводиться квалифицированной стороной. Тестирование может проводиться в прозрачной или непрозрачной коробке.
Проводить периодические внешние тесты на проникновение в соответствии с требованиями программы, не реже одного раза в год. Внешнее тестирование на проникновение должно включать в себя разведку предприятия и окружающей среды для обнаружения информации, пригодной для использования. Тестирование на проникновение требует специальных навыков и опыта и должно проводиться квалифицированной стороной. Тестирование может проводиться в прозрачной или непрозрачной коробке.
18.1
18.1 Создана и поддерживается программа тестирования на проникновение
Разработать и поддерживать в рабочем состоянии программу тестирования на проникновение, соответствующую размеру, сложности и зрелости предприятия. Характеристики программы тестирования на проникновение включают область применения, такую как сеть, веб-приложение, интерфейс прикладного программирования (API), размещенные службы и средства контроля физического помещения; частоту; ограничения, такие как допустимые часы работы и исключенные типы атак; контактную информацию; меры по исправлению положения, такие как способ внутренней передачи результатов; и ретроспективные требования.
Разработать и поддерживать в рабочем состоянии программу тестирования на проникновение, соответствующую размеру, сложности и зрелости предприятия. Характеристики программы тестирования на проникновение включают область применения, такую как сеть, веб-приложение, интерфейс прикладного программирования (API), размещенные службы и средства контроля физического помещения; частоту; ограничения, такие как допустимые часы работы и исключенные типы атак; контактную информацию; меры по исправлению положения, такие как способ внутренней передачи результатов; и ретроспективные требования.
18.5
18.5 Реализовано регулярное проведение внутреннего тестирования на проникновение
Проводить периодические внутренние тесты на проникновение в соответствии с требованиями программы, не реже одного раза в год. Тестирование может проводиться в прозрачной или непрозрачной коробке.
Проводить периодические внутренние тесты на проникновение в соответствии с требованиями программы, не реже одного раза в год. Тестирование может проводиться в прозрачной или непрозрачной коробке.
CIS Critical Security Controls v7.1 (SANS Top 20):
CSC 20.2
CSC 20.2 Conduct Regular External and Internal Penetration Tests
Conduct regular external and internal penetration tests to identify vulnerabilities and attack vectors that can be used to exploit enterprise systems successfully.
Conduct regular external and internal penetration tests to identify vulnerabilities and attack vectors that can be used to exploit enterprise systems successfully.
CSC 20.1
CSC 20.1 Establish a Penetration Testing Program
Establish a program for penetration tests that includes a full scope of blended attacks, such as wireless, client-based, and web application attacks.
Establish a program for penetration tests that includes a full scope of blended attacks, such as wireless, client-based, and web application attacks.
SWIFT Customer Security Controls Framework v2022:
7 - 7.3A Penetration Testing
7.3A Penetration Testing
Положение Банка России № 779-П от 15.11.2021 "Обязательные для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке"":
п. 1.8.
1.8. Некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, в рамках обеспечения операционной надежности должны принимать организационные и технические меры, направленные на проведение сценарного анализа (в части возможной реализации информационных угроз) и тестирования с использованием его результатов своей готовности противостоять реализации информационных угроз в отношении критичной архитектуры.
Положение Банка России № 683-П от 17.04.2019 "Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента":
3.2.
3.2. Кредитные организации должны обеспечить ежегодное тестирование на проникновение и анализ уязвимостей информационной безопасности объектов информационной инфраструктуры.
Связанные защитные меры
| Название | Дата | Влияние | ||
|---|---|---|---|---|
|
Community
13 / 138
|
Проведение штабных киберучений
Вручную
Организационная
08.05.2022
|
08.05.2022 | 13 / 138 | |
|
Community
11 / 83
|
Проведение тестирования на проникновение
Вручную
Техническая
Детективная
02.06.2021
|
02.06.2021 | 11 / 83 |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.