Куда я попал?
Стандарт ПС "Мир". Требования к системе управления Рисками информационной безопасности Субъектов ПС "Мир" v. 2.0
Стандарт
Стандарт ПС «Мир» устанавливает основные требования и рекомендации к системе управления Рисками ИБ для Участников, ОПКЦ и РЦ (кроме Банка России).
Оригинал стандарта размещен на сайте НСПК в разделе "Руководства" (или по прямой ссылке)
Оригинал стандарта размещен на сайте НСПК в разделе "Руководства" (или по прямой ссылке)
Для проведения оценки соответствия по документу войдите в систему.
Для оценки соответствия
- авторизуйтесь
- авторизуйтесь
Планируемый уровень
Текущий уровень
Список требований
-
1.2. Термины, определения и сокращения
Допустимый риск – уровень риска, который Субъект готов принять на себя, с высокой вероятностью обеспечивая достижение целей своей деятельности и выполнение своих функций.
Значимый риск – риск, присущий уровень которого выше уровня допустимого риска.
Инцидент информационной безопасности (Инцидент ИБ) – инцидент, связанный с нарушениями требований к обеспечению защиты информации при осуществлении Операций, к которому относятся:- события, которые привели или могут привести к осуществлению Операций без согласия Клиента;
- события, которые привели или могут привести к нарушению непрерывности или несвоевременности оказания платежных услуг, операционных услуг, услуг платежного клиринга и расчетных услуг по причине нарушения требований к обеспечению защиты информации;
- события, включенные в перечень типов инцидентов, согласованный с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и размещаемый Банком России на официальном сайте Банка России в сети Интернет.
Ключевой индикатор риска (КИР) – количественный показатель, который используется для оперативного измерения и контроля уровня Риска ИБ в определенный момент времени.
Косвенные потери – к данным видам потерь Субъекта относятся:- расчетные потери из-за приостановления и (или) прекращения функционирования объектов информационной инфраструктуры или потери ее работоспособности в результате Инцидента ИБ;
- рост затрат рабочего времени обслуживающего персонала на устранение последствий от Инцидента ИБ;
- рост стоимости договоров технического обслуживания объектов информационной инфраструктуры и (или) антивирусной защиты в результате Инцидента ИБ.
ОПКЦ – операционный и платежный клиринговый центр.
Остаточный риск – уровень риска с учетом существующих мер реагирования на него и контрольных процедур.
Показатель уровня Риска ИБ – количественный или качественный показатель, позволяющий осуществлять контроль за уровнем Риска ИБ.
Пороговое значение – предельное значение Показателя уровня Риска ИБ или КИР, при достижении которого необходимо предпринимать меры, направленные на снижение Риска ИБ.
Присущий риск – уровень риска при отсутствии мер, направленных на изменение вероятности риска или степени его влияния.
Прямые потери – к данным видам потерь Субъекта относятся:- потери денежных средств или других активов в результате Инцидента ИБ;
- выплаты компенсаций клиентам и контрагентам в результате Инцидента ИБ;
- уплата штрафов за Инциденты ИБ по предписаниям исполнительных органов государственной власти, Банка России и (или) Оператора.
Риск-событие – событие, реализация которого может привести к Инциденту ИБ, а также событие, которое привело, могло привести или может привести в будущем к негативным последствиям для достижения целей деятельности и выполнения функций Субъекта.
Риск информационной безопасности (Риск ИБ) – риск реализации угроз безопасности информации, которые обусловлены недостатками процессов обеспечения информационной безопасности, в том числе проведения технологических и других мероприятий, недостатками прикладного программного обеспечения автоматизированных систем и приложений, а также несоблюдением требований к указанным процессам деятельности Субъектами. Является одним из видов операционного риска в Системе.
Риск информационной безопасности включает в себя:- киберриск – риск преднамеренных действий со стороны работников Субъекта Системы и (или) третьих лиц с использованием программных и (или) программно-аппаратных средств, направленных на объекты информационной инфраструктуры Субъекта;
- другие виды риска информационной безопасности, связанные с обработкой (хранением, уничтожением) Данных карт ПС «Мир» [2] без использования объектов информационной инфраструктуры.
Сервис-провайдер – организация, предоставляющая Участникам, Платежным Сервис-провайдерам и (или) ТСП услуги по хранению, обработке или передаче данных платежных карт и (или) имеющая возможность влиять на безопасность таких данных. Примерами таких компаний могут являться компании, предоставляющие услуги co-location, IaaS (Infrastructureas-a-Service), SaaS (Software-as-a-Service), разработки ПО, сервисного обслуживания банкоматов и POS-терминалов, а также услуги по авторизации, клирингу. Организации, предоставляющие услуги связи (телекоммуникационные услуги), не являются Сервиспровайдерами.
Субъект – Участник, ОПКЦ и РЦ (кроме Банка России).
СУР ИБ – система управления Рисками ИБ.
Иные термины и сокращения, используемые в настоящем документе, применяются в значениях, установленных в Правилах ПС «Мир» и документе «Стандарт ПС "Мир”. Программа безопасности». -
1.3. Нормативные ссылки
[1] Правила Платежной системы «Мир».
[2] Стандарт ПС «Мир». Программа безопасности.
[3] Стандарт ПС «Мир». Порядок обработки инцидентов ИБ Участником.
[4] Методика оценки и анализа нефинансовых рисков АО «НСПК».
[5] Стандарт ПС «Мир». Контроль уровня неправомерных операций на стороне Участников ПС «Мир» -
3.2. В случае, если Субъектом не определена детализация организационной структуры по управлению Риском ИБ, учитывающая требования настоящего Стандарта, учет требований Стандарта должен осуществляться подразделениями Субъекта, которые в рамках функциональных обязанностей выполняют процедуры управления операционным риском в части вида операционного риска «риск информационной безопасности», с учетом установленного Субъектом распределения ответственности между подразделением, ответственным за организацию управления операционным риском и иными привлекаемыми к осуществлению деятельности подразделениями и коллегиальными исполнительными органами Субъекта <2> .
<2> В контексте данного требования деятельность по установке и мониторингу показателей уровня Риска ИБ, установленная требованиями Раздела 8 Стандарта, должна рассматриваться как дополнительные требования к процедурам работы с системой контрольных показателей уровня операционного риска. -
- анализ полноты идентификации рисков на основе анализа дополнительной информации:
- результатов моделирования угроз информационной безопасности;
- результатов последней проведенной оценки соответствия требованиям безопасности (в соответствии с требованиями документа [2]);
- иной дополнительной информации, применение которой сочтено Субъектом целесообразным для проведения идентификации рисков;
- анализ полноты идентификации рисков на основе анализа дополнительной информации:
-
4.19. Для каждого из значимых Рисков ИБ должны быть сопоставлены уровни остаточного риска и допустимого Риска ИБ в целях принятия решений о необходимости применения возможных способов управления Рисками ИБ Субъекта в дополнение к ранее примененным способам управления Рисками ИБ, в соответствии с требованиями Раздела 5 настоящего Стандарта.
-
4.21. В случае применения в рамках подхода к оценке рисков качественных методов анализа рисков, итоговые значения присущего и остаточного уровней воздействия Рисков ИБ, присущей и остаточной вероятности (частоты) реализации Рисков ИБ, присущего и остаточного уровня Риска ИБ должны быть оценены с использованием шкал оценки, приведенных в Приложении № 2 к настоящему Стандарту <3>.
<3> Шкалы оценки, приведенные в Приложении № 2 к Стандарту, являются выдержками шкал, установленных в Разделе 18 Правил ПС «Мир», применимыми для Участников. В случае изменения шкал оценки в Правилах ПС «Мир», вступающих в противоречие с шкалами, приведенными в Таблицах 1-3 Стандарта, Участникам необходимо руководствоваться требованиями Правил ПС «Мир». Иным видам Субъектов необходимо пользоваться полной версией шкал, установленных в Разделе 18 Правил ПС «Мир». -
4.22. В случае применения в рамках подхода к оценке рисков количественных методов анализа рисков, итоговые значения присущего и остаточного уровней воздействия Рисков ИБ, присущей и остаточной вероятности (частоты) реализации Рисков ИБ должны быть оценены в формате, допускающем возможность конвертации или интерпретации полученных значений в качественные значения в соответствии со шкалами Таблицы 1 и Таблицы 2 Приложения № 2 к Стандарту. Если применяемые методы оценки рисков также предполагают получение значения присущего и остаточного уровня рисков для оцениваемых Рисков ИБ способом, отличающимся от применения тепловой карты, приведенной в Таблице 3 Приложения № 2 к Стандарту, значения присущего и остаточного уровня Риска ИБ должны быть дополнительно оценены с использованием тепловой карты в Таблице 3 Приложения № 2 к Стандарту на основании сконвертированных (интерпретированных) оценок уровня воздействия и вероятности (частоты) реализации Рисков ИБ.
-
4.23. Информация по идентифицированным Рискам ИБ, полученная в результате проведения анализа и оценки рисков, должна быть включена в Профиль Рисков ИБ. Требования к составу информации, отображаемой в Профиле Рисков ИБ, приведены в Приложении № 1 к настоящему документу <4>.
<4> В случае применения двойных шкал оценки в соответствии с п. 4.22, формат Профиля Рисков ИБ рекомендуется расширить дополнительными полями в целях включения в Профиль Рисков ИБ полученных значений характеристик уровня рисков как по итогам применения методов анализа рисков, установленных Субъектом, так и сконвертированные (интерпретированные) оценки в соответствии с шкалами, установленными Стандартом. В случае применения двойных шкал оценки в соответствии с п. 4.21, формат Профиля Рисков ИБ необходимо расширить дополнительными полями в целях включения в Профиль Рисков ИБ полученных значений характеристик уровня рисков как по итогам применения методов анализа рисков, установленных Субъектом, так и сконвертированные (интерпретированные) оценки в соответствии с шкалами, установленными Стандартом. Профиль Рисков ИБ полученных значений характеристик уровня рисков как по итогам применения методов анализа рисков, уста -
4.25. При фиксации в Профиле Рисков ИБ информации о предпринятых мерах реагирования и контрольных процедурах, направленных на снижение вероятности (частоты) реализации воздействия и (или) последствий от реализации значимых Рисков ИБ, рекомендуется указывать пометки, требуется ли реализация данных мер в соответствии с документом [2].
-
5.2 В случае недостаточности защитных мер, реализованных в соответствии с требованиями документа [2], для минимизации идентифицированных Рисков ИБ до определенного Субъектом допустимого уровня, Субъект должен самостоятельно определить и реализовать в отношении каждого Риска ИБ решение о способе реагирования на риск в дополнение к защитным мерам, требуемым документом [2].
-
5.3 Рекомендуется определять уровень решения о реагировании на риски на основании сформированной и установленной во внутренних нормативных документах Субъекта матрицы реагирования на риски, в качестве исходных данных рассматривая как минимум два значения из следующих <5>:
- присущий уровень Риска ИБ;
- остаточный уровень Риска ИБ;
- остаточный уровень воздействия Риска ИБ.
<5> В случае применения Субъектом методов анализа и оценки рисков, предусматривающих использование способов оценки, требующих последующей конвертации (интерпретации) в шкалы оценки, приведенные в таблицах 1-3 Стандарта, для разработки данной матрицы допускается использование как шкал, установленных Стандартом, так и шкал, установленных Субъектом. -
5.5 Принятие решения об отсутствии необходимости реагирования на риск (принятии риска) в отношении значимых Рисков ИБ допускается в случае, когда отсутствует возможность реализации эффективных мер реагирования, позволяющих снизить ожидаемую частоту (вероятность) или ожидаемый уровень воздействия Риска ИБ <6>. Принятие решения об отсутствии необходимости реагирования на риск (принятии риска) в отношении Рисков ИБ, имеющих критический или высокий остаточный уровень в соответствии с тепловой картой, приведенной в Таблице 3 Приложения № 2 к настоящему Стандарту, допускается только коллегиальным исполнительным органом Субъекта, уполномоченным принимать решения в отношении вопросов управления операционными рисками или управления Риском ИБ.
<6> Решение об отсутствии необходимости реагирования на риск не может быть принято, если превышение допустимого уровня риска связано с невыполнением мер, требуемых документом [2]. -
7.2. Проведение оценки эффективности должно осуществлять подразделение Субъекта, структурно независимое от подразделения (подразделений), осуществляющих реализацию процедур управления Рисками ИБ, установленных требованиями Разделов 4-6 настоящего Стандарта, уполномоченное проводить оценку эффективности в соответствии с организационной структурой по управлению Риском ИБ, и (или) внешний эксперт (специализированная организация или квалифицированный внешний эксперт) по решению уполномоченного органа Субъекта.
-
- оценка применения способов управления Рисками ИБ:
- анализ корректности применения процедур выбора способов управления рисками;
- анализ выполнения планов по реализации дополнительных защитных мер, установленных в соответствии с п. 5.7 настоящего Стандарта;
- оценка полноты и корректности установки показателей уровня Риска ИБ и ключевых индикаторов риска в соответствии с требованиями Раздела 8 настоящего Стандарта;
- анализ полноты доведения информации о результатах мониторинга показателей уровня Риска ИБ и ключевых индикаторов риска;
- контроль соблюдения установленных сроков выполнения процедур управления рисками;
- оценка применения способов управления Рисками ИБ:
-
- анализ темпа совершенствования СУР ИБ:
- контроль полноты исправления замечаний, сформированных в ходе проведения прошлой оценки эффективности СУР ИБ в соответствии с требованиями настоящего раздела;
- анализ учета иных условий, требующих совершенствования СУР ИБ согласно Разделу 9 настоящего Стандарта.
- анализ темпа совершенствования СУР ИБ:
-
7.4. Оценка эффективности СУР ИБ должна осуществляться на основании анализа достижения критериев эффективности в рамках каждого из направлений оценки. Перечень базовых и ключевых критериев приведен в Приложении № 3 настоящего Стандарта. Субъект вправе самостоятельно определить дополнительные критерии оценки эффективности СУР ИБ.
-
7.5. При формировании заключения о достижении критериев оценки эффективности, установленных в Приложении № 3 к Стандарту, в качестве базовых значений оценки достижения критериев должны быть использованы значения «1 – критерий достигнут» и «0 – критерий не достигнут», где оценка «1 – критерий достигнут» может быть указана при условии полного выполнения рассматриваемого критерия, подтвержденного свидетельствами выполнения деятельности в соответствии с п. 7.12 Субъект может самостоятельно расширить применяемую шкалу оценки достижения критериев, введя промежуточные значения оценки.
-
7.8. В случае признания СУР ИБ неэффективной или низкоэффективной, Субъектом должен быть разработан план совершенствования СУР ИБ, включающий:
- перечень действий по достижению требований Стандарта и критериев эффективности, предусмотренных Приложением № 3 к Стандарту, с указанием сроков исполнения и ответственных за исполнение пунктов плана должностей Субъекта;
- перечень действий по достижению критериев эффективности, установленных Субъектом, с указанием сроков исполнения и ответственных за исполнение пунктов плана должностей Субъекта;
- в случае, если не были достигнуты ключевые критерии, связанные с процедурами идентификации, анализа или оценки Рисков ИБ – сроки проведения внеплановой оценки Рисков ИБ и состав рабочей группы (перечень должностей и (или) подразделений), привлекаемой для проведения внеплановой оценки Рисков ИБ;
- в случае, если не были достигнуты ключевые критерии, связанные с процедурами выбора способов обработки Рисков ИБ – сроки пересмотра и разработки плана реализации мер, направленных на снижение уровня Рисков ИБ, в соответствии с требованиями Раздела 5 настоящего Стандарта;
- сроки проведения следующей оценки эффективности СУР ИБ, в ходе которой будут проанализированы изменения, выполненные в соответствии с разработанным планом совершенствования СУР ИБ.
-
7.11. Результат оценки эффективности СУР ИБ должен быть оформлен документально. Форма отчета о результатах оценки эффективности СУР ИБ приведена в Приложении № 3 настоящего Стандарта<7>.
<7> В случае, если проводимая Субъектом оценка эффективности СУР ИБ учитывает не только требования настоящего Стандарта, но и требования иных внутренних или внешних документов к проведению оценки эффективности, допускается использование альтернативных форм отчета о результатах оценки эффективности, -
8.20. Помимо КИР, используемых в целях расчета фактических значений или прогнозирования превышения пороговых значений показателей уровня Риска ИБ, рекомендуется установить дополнительные КИР в целях мониторинга Риска ИБ, остаточный уровень которых равен или превышает значение «высокий» согласно тепловой карте, приведенной в Таблице 3 Приложения № 2 к Стандарту.
-
8.28. Участники должны уведомлять Оператора о фактах достижения или превышения пороговых значений показателей уровня Риска ИБ, перечисленных в п. 8.3, в течение 24-х часов с момента выявления факта достижения (превышения) порогового значения показателя уровня Риска ИБ. Уведомление выполняется путем создания заявки в проекте «Программа безопасности» на Портале. К заявке должна быть приложена документация о показателях уровня Риска ИБ, пороговое значение которых было достигнуто или превышено. Документация должна содержать сведения о пороговых значениях показателей уровня Риска ИБ, о плане реагирования на достижение пороговых значений, сведения о зафиксированных значениях показателей уровня Риска ИБ, результаты выполнения установленного порядка реагирования на достижение порогового значения показателя уровня Риска ИБ (в части выполнения действий, совершенных к моменту формирования уведомления). Если у Участника отсутствует доступ к Порталу, то Участник должен уведомить АО «НСПК» по электронной почте, направив письмо с указанной информацией на адрес mirsecurity@nspk.ru.
-
2. Заключение о результатах оценки эффективности СУР ИБ
<Раздел предназначен для указания сводных результатов оценки эффективности: количества достигнутых и не достигнутых критериев эффективности СУР ИБ в разрезе критичности критериев и областей оценки, а также заключение о степени эффективности СУР ИБ в соответствии с условиями, указанными в п. 7.6 Стандарта> -
Базовый критерий
Требуемые действия по контролю
Критерий 1: Процедуры идентификации, анализа и оценки Рисков ИБ регламентированы во внутренних документах Субъекта и доведены до участников процедуры
Опишите структуру внутренней нормативной документации, описывающей процедуры идентификации, анализа и оценки Рисков ИБ у Субъекта и распределение ответственности за выполнение процедур между подразделениями Субъекта. Оцените полноту внутренней нормативной документации по оценке рисков в соответствии с требованиями Раздела 4 Стандарта. Опишите, как документы доводились до участников процедур управления рисками и как задействованные в реализации процедур лица могут получить доступ к данным документам -
Базовый критерий
Требуемые действия по контролю
Критерий 2: Методы идентификации Рисков ИБ, применяемые Субъектом, соответствуют требованиям Раздела 4 Стандарта
Опишите перечень процедур по идентификации Рисков ИБ, которые проводились при проведении актуальной оценки рисков. Оцените, насколько процедуры идентификации Рисков ИБ соответствуют требованиям, приведенным в п. 4.8 Стандарта. В отношении повторных оценок, если в отношении показателей уровня Риска ИБ или ключевых индикаторов Рисков ИБ (далее – КИР) за оцениваемый период были выявлены достижения пороговых значений, опишите, как был проведен анализ необходимости расширения, детализации или переработки перечня идентифицированных Рисков ИБ -
Базовый критерий
Требуемые действия по контролю
Критерий 5: Используемые методы определения воздействия Рисков ИБ соответствуют требованиям ПС «Мир»
Опишите методы, применяемые Субъектом в целях определения ожидаемого воздействия от реализации Рисков ИБ / потенциально возможных Риск-событий (в случае, если в целях определения присущего и остаточного уровней воздействия от реализации Рисков ИБ применяются различные методы, укажите оба варианта). В случае, если результатом применения методов являются значения, не коррелирующие явным образом со значениями, установленными в шкалах Таблицы 1 Приложения № 2 к Стандарту – проанализируйте, как полученные значения конвертируются или интерпретируются в целях получения оценок, соответствующих шкалам Таблицы 1 Приложения № 2 к Стандарту -
Базовый критерий
Требуемые действия по контролю
Критерий 6: Используемые методы определения частоты (вероятности) реализации
Опишите методы, применяемые Субъектом в целях определения ожидаемой частоты (вероятности) реализации Рисков ИБ / потенциально возможных Риск-событий (в случае, если в целях определения присущего и остаточного значений частоты (вероятности) реализации Рисков ИБ применяются различные методы, укажите оба варианта). В случае, если результатом применения методов являются значения, не коррелирующие явным образом со значениями, установленными в шкалах Таблицы 2 Приложения № 2 к Стандарту – проанализируйте, как полученные значения конвертируются или интерпретируются в целях получения оценок, соответствующих шкалам Таблицы 2 Приложения № 2 к Стандарту -
Базовый критерий
Требуемые действия по контролю
Критерий 7: Применяемые способы оценки уровня Рисков ИБ соответствуют требованиям ПС «Мир»
Опишите методы, применяемые Субъектом в целях определения уровня Рисков ИБ (в случае, если в целях определения присущего и остаточного значений уровня Рисков ИБ применяются различные методы, укажите оба варианта). В случае, если результатом применения методов являются значения, полученные не способом, предполагающим применение тепловой карты из Таблицы 3 Приложения № 2 к Стандарту – проанализируйте, предполагают ли дальнейшие процедуры управления Рисками ИБ учет оценок уровня Риска ИБ, полученных согласно тепловой карте из Таблицы 3 Приложения № 2 к Стандарту -
Ключевой критерий
Требуемые действия по контролю
Критерий 8: Применение методов анализа и оценки Рисков ИБ на практике реализовано корректным способом
В случае применения в целях анализа Рисков ИБ автоматизированных инструментов для оценки уровня Рисков ИБ, убедитесь, что:- в инструмент внесены корректные шкалы оценки;
- в случае отличия шкал оценки, используемых для анализа Рисков ИБ в автоматизированном инструменте, от шкал, установленных Приложением № 2 к Стандарту – предусмотрены и применяются методы конвертации или интерпретации полученных значений;
- в случае использования формул для расчета параметров Риска ИБ – вычисления функционируют корректно и выдают ожидаемый результат при известных данных;
- в случае переноса данных для анализа Рисков ИБ в автоматизированный инструмент из других источников, либо в случае выгрузки данных из автоматизированного инструмента – данные переносятся без искажений.
В случае проведения вычислений уровня Рисков ИБ работниками вручную убедитесь, что:- работники в ходе анализа Рисков ИБ применяют актуальные версии методов и шкал оценки;
- при проведении актуальной оценки Рисков ИБ расчеты были проведены корректно (отсутствуют противоречия между учтенной при оценке информацией и результатами расчетов, используемые в расчетах формулы, зависимости и тепловые карты применены в виде, соответствующем установленным процедурам)
-
Базовый критерий
Требуемые действия по контролю
Критерий 10: Профиль Рисков ИБ содержит информацию о всех идентифицированных Рисках ИБ
Проверить, что Профиль Рисков ИБ включает Риски ИБ, связанные с выполнением видов деятельности, которые должны быть включены в область оценки Рисков ИБ в соответствии с критерием № 3; проанализировать классификатор Рисков ИБ, рабочие материалы по оценке Рисков ИБ и Профиль Рисков ИБ на предмет наличия необоснованно исключенных из рассмотрения Рисков ИБ -
Ключевой критерий
Требуемые действия по контролю
Критерий 12: Для всех Рисков ИБ, присущий уровень которых превосходит допустимый уровень, проведена оценка остаточного уровня Риска ИБ
Оценить наполненность Профиля Рисков ИБ информацией. Проверить, учтена ли информация о не реализованных на момент оценки мерах снижения уровня Риска ИБ, при оценке остаточного уровня Риска ИБ, в соответствии с п. 4.18 Стандарта
Ключевой критерий
Факты, идентифицированные в ходе выполнения действий по контролю
Ключевой критерий
Свидетельства, подтверждающие достижение или недостижение критерия
Ключевой критерий
Заключение о достижении критерия -
Ключевой критерий
Требуемые действия по контролю
Критерий 13: Оценка Рисков ИБ проводится не реже одного раза в год
Оценить все работы по оценке Рисков ИБ, выполненные за год от выбранной точки отсчета (например, от начала года или от даты старта проведения прошлой оценки Рисков ИБ) на предмет полноты покрытия области оценки в соответствии с требованиями критерия № 3 и регулярности проведения -
Ключевой критерий
Требуемые действия по контролю
Критерий 16: В отношении Рисков ИБ, остаточный уровень которых превосходит допустимый уровень риска, приняты решения о способе реагирования на Риск ИБ
Проанализируйте фактически реализованный по итогам проведения актуальной оценки Рисков ИБ процесс выбора способов реагирования на Риск ИБ. Оцените, зафиксирована ли в Профиле Рисков ИБ информация о выборе способа реагирования на Риск ИБ и соответствует ли указанная информация действительности. Оцените, соответствуют ли решения о принятии Рисков ИБ (в случае формирования таковых) требованиям п. 5.5 Стандарта -
Ключевой критерий
Требуемые действия по контролю
Критерий 17: В отношении Рисков ИБ, для которых принято решение о способе реагирования, отличное от принятия риска, выбраны дополнительные защитные меры в соответствии с требованиями Раздела 5 Стандарта
Проанализируйте фактически реализованный по итогам проведения актуальной оценки Рисков ИБ процесс выбора способов реагирования на Риск ИБ. Для Рисков ИБ, в отношении которых были приняты решения о способе реагирования, отличных от принятия риска, оцените наличие ресурсов и возможностей у подразделений, указанных в качестве ответственных за реализацию мер, достаточных для реализации указанных мер реагирования в запланированные сроки -
Базовый критерий
Требуемые действия по контролю
Критерий 18: Показатели уровня Риска ИБ, установленные требованиями Раздела 8 Стандарта, установлены в соответствии с требованиями Стандарта
Проанализируйте материалы, устанавливающие показатели уровня Риска ИБ, на предмет:- перечень установленных показателей уровня Риска ИБ должен включать все показатели, перечисленные в п. 8.3 Стандарта (с учетом возможностей по исключению показателей из расчета, установленных п. 8.15 Стандарта);
- в отношении установленных показателей уровня Риска ИБ должна быть зафиксирована информация, приведенная в п. 8.9 Стандарта;
- для всех показателей уровня Риска ИБ, исключенных из расчета, должно быть документально зафиксировано обоснование неприменимости показателя к Субъекту
-
Базовый критерий
Требуемые действия по контролю
Критерий 22: В случае достижения пороговых значений показателей уровня Риска ИБ, установленных п. 8.3 Стандарта, до Оператора доводились уведомления о достижении пороговых значений и результатах выполнения предусмотренных мер реагирования
В случае, если Субъектом были достигнуты пороговые значения показателей уровня Риска ИБ или КИР, оцените, были ли (и если да – то в какой срок) сформированы и направлены уведомления Оператора о достижении пороговых значений показателей уровня Риска ИБ -
Базовый критерий
Требуемые действия по контролю
Критерий 26: Лицами, ответственными за организацию процессов СУР ИБ, осуществляется анализ необходимости совершенствования СУР ИБ на основе анализа возникновения иных приведенных в Разделе 10 Стандарта условий, требующих совершенствования СУР ИБ
Опишите, какие подразделения или должности в соответствии с установленными во внутренних нормативных документах процедурами осуществляют деятельность по контролю возникновения или реализации условий, требующих совершенствования СУР ИБ в соответствии с требованиями Раздела 9 Стандарта (за исключением условия, связанного с проведением оценки эффективности СУР ИБ), и каким образом в случае обнаружения необходимости совершенствования СУР ИБ будет инициирована данная деятельность. В случае, если на момент проведения текущей оценки эффективности у Субъекта были реализованы условия, требующие проведения совершенствования СУР ИБ – опишите, каким образом процедуры совершенствования СУР ИБ были реализованы на практике
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.