Стандарт Банка России № СТО БР ИББС-1.0-2014 от 01.06.2014

КОН.4 Контроль применения организационных мер обеспечения операционной надежности. 

A.18.2.1 Независимая проверка информационной безопасности 
Мера обеспечения информационной безопасности: Подход организации к менеджменту информационной безопасностью и ее реализация (т. е. цели, меры и средства, политики, процессы и процедуры информационной безопасности) следует проверять независимо друг от друга через запланированные интервалы времени или в случае значительных изменений 

A.12.1.1 Документально оформленные эксплуатационные процедуры 
Мера обеспечения информационной безопасности: Эксплуатационные процедуры должны быть документированы и доступны всем нуждающимся в них пользователям 

А.5.35 Независимые проверки ИБ
Принятый в организации подход к управлению ИБ и его реализация, включая людей, процессы и технологии, должны подвергаться независимой проверке через запланированные интервалы времени или в случае существенных изменений.

А.5.37 Документированные рабочие процедуры
Рабочие процедуры для средств обработки информации должны быть задокументированы и доступны для персонала, который в них нуждается.

А.5.35 Independent review of information security
The organization’s approach to managing information security and its implementation including people, processes and technologies shall be reviewed independently at planned intervals, or when significant changes occur.

А.5.37 Documented operating procedures
Operating procedures for information processing facilities shall be documented and made available to personnel who need them.

8.4. Должностное лицо, ответственное за информационные системы, проводит не реже одного раза в год анализ необходимости пересмотра требований политики информационных систем в зависимости от осуществляемых операций и (или) действующих процессов, изменяющихся внешних факторов и стратегических планов развития кредитной организации (головной кредитной организации банковской группы), результатов процедур управления операционным риском, результатов оценки эффективности функционирования системы управления операционным риском, проведенной уполномоченным подразделением, и направляет результаты анализа на рассмотрение коллегиальному исполнительному органу кредитной организации (головной кредитной организации банковской группы) для принятия решения о необходимости внесения изменений в политику информационных систем и внутренние документы.

Кредитная организация (головная кредитная организация банковской группы) определяет во внутренних документах порядок и правила проведения анализа и пересмотра политики информационных систем.