Соответствие требованиям

Куда я попал?

SECURITM это система для корпоративных служб информационной безопасности, которая автоматизирует ключевые процессы управления: контроль соответствия требованиям, управление рисками, учет активов, планирование работ, задачи, технические уязвимости, опросы и т.д.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.

Подробнее

Наш канал

Обеспечение информационной безопасности организаций банковской системы Российской Федерации - Общие положения

Стандарт Банка России № СТО БР ИББС-1.0-2014 от 01.06.2014

Р. 8 п. 2 п.п. 2

Для проведения оценки соответствия по документу войдите в систему.

Показывать только требования

8.2.2. Служба ИБ должна быть наделена следующими минимальными полномочиями:

организовывать составление и контролировать выполнение всех планов по обеспечению ИБ организации БС РФ;
разрабатывать и вносить предложения по изменению политик ИБ организации;
организовывать изменение существующих и принятие руководством новых внутренних документов, регламентирующих деятельность по обеспечению ИБ организации БС РФ;
определять требования к мерам обеспечения ИБ организации БС РФ;
контролировать работников организации БС РФ в части выполнения ими требований внутренних документов, регламентирующих деятельность в области обеспечения ИБ, в первую очередь работников, имеющих максимальные полномочия по доступу к защищаемым информационным активам;
осуществлять мониторинг событий, связанных с обеспечением ИБ;
участвовать в расследовании событий, связанных с инцидентами ИБ, и в случае необходимости выходить с предложениями по применению санкций в отношении лиц, осуществивших НСД и НРД, например, нарушивших требования инструкций, руководств и т.п. по обеспечению ИБ организации БС РФ;
участвовать в действиях по восстановлению работоспособности АБС после сбоев и аварий;
осуществлять контроль обеспечения ИБ на стадиях ЖЦ АБС, в том числе при тестировании и вводе в эксплуатацию подсистем ИБ АБС организации БС РФ;
участвовать в создании, поддержании, эксплуатации и совершенствовании СОИБ организации БС РФ.

Похожие требования

Положение Банка России № 787-П от 12.01.2022 "Обязательные для кредитных организаций требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг":

п. 6. п.п. 6

6.6. Кредитные организации в части нейтрализации информационных угроз со стороны внутреннего нарушителя разрабатывают и принимают организационные и технические меры в отношении субъектов доступа, привлекаемых в рамках выполнения технологических процессов, направленные на исключение возможности несанкционированного использования предоставленных указанным субъектам доступа полномочий.

ГОСТ Р № ИСО/МЭК 27001-2021 от 01.01.2022 "Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования - Приложение А":

A.14.2.8

A.14.2.8 Тестирование безопасности систем
Мера обеспечения информационной безопасности: Тестирование функциональных возможностей безопасности должно осуществляться в процессе разработки

Положение Банка России № 779-П от 15.11.2021 "Обязательные для некредитных финансовых организаций требований к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке"":

п. 1.9.

1.9. Некредитные финансовые организации, обязанные соблюдать усиленный, стандартный или минимальный уровень защиты информации, в рамках обеспечения операционной надежности должны принимать организационные и технические меры в отношении субъектов доступа, являющихся работниками указанных некредитных финансовых организаций и работниками поставщиков услуг, привлекаемых в рамках выполнения технологических процессов, предусмотренных в приложении к настоящему Положению, направленные на управление риском реализации информационных угроз, обусловленным возможностью несанкционированного использования предоставленных указанным субъектам доступа полномочий.

Связанные защитные меры

	Название	Дата	Влияние
Community 1 12 / 97	Блокировка возможности удаленного завершения работы в ОС Windows Постоянно Автоматически Техническая Превентивная 25.02.2022	25.02.2022	1 12 / 97
Цель: запрет удаленного завершения работы ОС Windows всем группам пользователей кроме локальных администраторов. Любой пользователь, который может отключить устройство, может вызвать отказ в обслуживании как самого оборудования, операционной системы, так и работающих на данной ОС сервисов и приложений. Поэтому право на удаленное завершение работы и перезагрузку должно быть строго ограничено. Наиболее актуальна данная мера для серверных экземпляров ОС. Настройка с помощью групповой политики: `Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя. Параметр: Принудительное удаленное завершение работы. Значение: Администраторы` *Рекомендации к заполнению карточки:* Если ведется реестр групповых политик (GPO) - привязать соответствующую политику к карточке как инструмент
Community 1 8 / 111	Доведение до новых работников документов по информационной безопасности По событию Вручную Организационная Удерживающая 28.10.2021	28.10.2021	1 8 / 111
Цель: Ознакомление с действующими в компании документами по информационной безопасности (политики, положения, обязательства) под подпись при трудоустройстве. Варианты реализации, в зависимости от специфики организации: В момент трудоустройства и подписания трудового договора (в кадровом подразделении); После трудоустройства в службе безопасности или информационных технологий; После трудоустройства на рабочем месте (ответственность непосредственного руководителя). *Рекомендации к заполнению карточки:* Зафиксировать ответственное за сбор подписей подразделение и место хранения реестров с подписями. Добавить шаблон регулярной контрольной задачи по проверке наличия реестров с подписями
Community 4 5 / 72	Подписание работниками обязательств о конфиденциальности Разово Вручную Организационная Удерживающая 12.10.2021	12.10.2021	4 5 / 72
Цель: закрепление за работниками ответственности за нарушения информационной безопасности. Обязательство о конфиденциальности - минималистичный (в идеале одностраничный) документ который подписывает работник. Документ формулируется от первого лица: я обязуюсь..., я уведомлен..., я согласен.... Обязательство следует делать универсальным документом, закрывающим различные требования по безопасности: коммерческая тайна, персональные данные, легитимизация систем защиты и мониторинга, материальная ответственность и т.д. Варианты утверждения: Как самостоятельный документ, отдельным приказом; Как часть другого документа, например, Положения о коммерческой тайне. Варианты распространения: Первичный сбор обязательств осуществляется руководителями подразделений, канцелярией, службой документооборота; Подписание обязательств новыми работниками осуществляется службой персонала в процессе оформления трудоустройства. Варианты контроля: Контроль наличия обязательств осуществляется службой информационной безопасности в рамках внутреннего аудита подразделений; Контроль подписания обязательств возлагается на кадровые подразделения или руководителей подразделений. В заметке к мере приведен шаблон обязательства о конфиденциальности. *Рекомендации к заполнению карточки:* Приложить к карточке шаблон обязательства, подписываемого работниками, или ссылку на содержащий его документ; Добавить шаблон регулярной контрольной задачи на проверку наличия подписанных обязательств, если контроль не осуществляется в рамках иной защитной меры.
Community 11 / 49	Проведение тестирования на проникновение Ежеквартально Вручную Техническая Детективная 02.06.2021	02.06.2021	11 / 49
Цель: определение возможностей злоумышленника по компрометации инфраструктуры организации. Тестирование на проникновение (пентест, pentest). Способы проведения: white box, gray box, black box Области тестирования: Внешний пентест (тестирование внешнего периметра) Внутренний пентест (тестирование локальной сети) Тестирование сетей WiFi Тестирование методами социальной инженерии Тестирование web приложений Пентесты проводятся преимущественно внешними подрядчиками, которых рекомендуется менять на регулярной основе для исключения эффекта замыливания. *Рекомендации к заполнению карточки:* Создать шаблон регулярной задачи по проведению тестирования на проникновение (периодичность ежеквартально или ежегодно); В отчете о выполнении задачи приводить краткие результаты тестирования или ссылку на отчет;
Community 2 3 / 45	Введение режима коммерческой тайны (приказом) Разово Вручную Организационная Удерживающая 16.05.2020	08.05.2022	2 3 / 45
Цель: закрепление обязательств сотрудников организации по выполнению требований информационной безопасности. В соответствии с Статьей 6.1 98-ФЗ "О коммерческой тайне" режим коммерческой тайны должен устанавливаться, изменяться, отменяться в письменной форме. Допустимо введение режима не самостоятельным приказом, а в рамках утверждения Положения о коммерческой тайне. *Рекомендации к заполнению карточки:* Привести ссылку на утвержденный приказ; Описать как организовано доведение приказа до действующих и новых работников, если это не реализовано отдельной защитной мерой