Требования к системе управления Рисками информационной безопасности Субъектов ПС "Мир"

 4.1 Субъект должен выявлять и идентифицировать Риски ИБ.

4.2 Процессы выявления и идентификации Рисков ИБ должны быть направлены на идентификацию событий, действий, условий, которые могут оказать влияние на информационные системы и бизнес-процессы, реализующие платежные услуги, операционные услуги, услуги платежного клиринга и/или расчетные услуги в рамках ПС «Мир», а также определение возможных последствий, анализ причин и источников возникновения событий Рисков ИБ. 

4.3 Выявление и идентификация Риска ИБ должны включать следующие способы, но не ограничиваясь:

4.4 Субъект должен использовать результаты процедуры выявления и идентификации Рисков ИБ для проведения процедур оценки Рисков ИБ и корректного учета связи идентифицированного Риска ИБ с произошедшими Риск-событиями. 

4.5 Субъекты самостоятельно определяют методику оценки Рисков ИБ, которая должна включать: 

проводить анализ и оценку внешних и внутренних факторов, влияющих на информационную безопасность информационных систем и бизнес-процессов, реализующих платежные услуги, операционные услуги, услуги платежного клиринга и/или расчетные услуги в рамках ПС «Мир»; 

разработать и поддерживать в актуальном состоянии классификаторы Рисков ИБ, Риск-событий, причин возникновения Риск-событий; 

определить уровни присущего Риска ИБ для каждого из идентифицированных Рисков ИБ и установить уровень допустимого Риска ИБ; 

для выделения значимых для Субъекта Рисков ИБ сопоставить определенный уровень присущего риска с установленным уровнем допустимого Риска ИБ по каждому из идентифицированных Рисков ИБ; 

для каждого из значимых для Субъекта Рисков ИБ применить способы управления рисками и определить уровень остаточного Риска ИБ; 

для каждого из значимых для Субъекта Рисков ИБ сопоставить уровни остаточного риска и допустимого Риска ИБ и принять решение о необходимости применения других способов управления Рисками ИБ Субъекта в дополнение к ранее примененным способам управления Рисками ИБ; 

вести мониторинг Рисков ИБ, в том числе уровней остаточных Рисков ИБ, и контролировать их соответствие допустимым уровням Рисков ИБ; 

оценить меры реагирования на выявленные Риски ИБ; 

составлять и актуализировать по результатам оценки Рисков ИБ Субъекта профиль каждого идентифицированного Риска ИБ Субъекта (далее – профиль Рисков ИБ). 

4.9 Оценка Рисков ИБ должна выполняться не реже одного раза в год.