СТО БР ИББС-1.2-2007 Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2006 (утратил силу с 01.06.2009)
Таблица 4. Соответствие групповых показателей ИБ общим
и специальным принципам БР ИББС-1.0
Обозначение группового показателя ИБ | Наименование группового показателя ИБ | Структурный элемент СТО БР ИББС-1.0 |
М28 | Своевременность обнаружения проблем, прогноз развития проблем ИБ и оценка их влияния на бизнес-цели организации БС РФ | пункты 6.1.1, 6.1.2, 6.1.3 |
М29 | Определенность целей, адекватность выбора защитных мер, их эффективность и контролируемость | пункты 6.1.4, 6.1.5, 6.1.8, 6.2.1 |
М30 | Непрерывность обеспечения ИБ и использование опыта при принятии и реализации решений | пункты 6.1.6, 6.1.7 |
М31 | Знание своих клиентов и служащих, персонификация и адекватное разделение ролей и ответственности, адекватность ролей функциям и процедурам | пункты 6.2.2, 6.2.3, 6.2.4 |
М32 | Доступность услуг и сервисов, наблюдаемость и оцениваемость обеспечения ИБ | пункты 6.2.5, 6.2.6 |
9.3. Частные показатели ИБ по направлению оценки "уровень осознания ИБ организации" дают возможность определить степень реализации общих принципов безопасного функционирования организации БС РФ и специальных принципов обеспечения ИБ организации БС РФ. Частные показатели по направлению оценки "уровень осознания ИБ организации" (показатели М28М32) и метрики приведены в приложении А.
9.4. Оценка частных показателей ИБ (EV) определяется посредством экспертного оценивания. Для принятия решения следует производить анализ нормативно-распорядительных и других документов организации БС РФ, имеющих отношение к общим принципам безопасного функционирования и специальным принципам обеспечения ИБ, определенным в разделе 6 СТО БР ИББС-1.0, и уточнять полученную информацию с помощью опросов сотрудников организации БС РФ и наблюдения за деятельностью организации БС РФ по выполнению общих принципов безопасного функционирования и специальных принципов обеспечения ИБ организации БС РФ.
Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о невыполнении соответствующих принципов, то оценке EVприсваивается значение, равное нулю.
Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о частичном выполнении соответствующих принципов, то оценка EVпо решению аудиторской группы может быть установлена равной 0,25; 0,5 или 0,75 (в зависимости от степени выполнения принципов соответствующих принципов ИБ).
Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о полном выполнении соответствующих принципов, то оценке EVприсваивается значение, равное единице.
9.5. Оценка группового показателя (EV) вычисляется из оценок входящих в него частных показателей (EV
) с учетом коэффициентов значимости
:
где j = 1N
;
N - количество частных показателей ИБ, представляющих групповой показатель Mi;
i = 2832.
Коэффициенты значимости для каждого частного показателя приведены в приложении А.
9.6. Оценки EVи EV
, полученные в результате оценивания групповых показателей ИБ М28
М32, вносятся в соответствующие графы представленных в приложении А форм.
9.7. Итоговая оценка EV3, отражающая уровень осознания ИБ для деятельности организации БС РФ, вычисляется по формуле:
9.8. Оценки EV, полученные в результате оценивания групповых показателей ИБ М28
М32, отображаются на круговой диаграмме (см. раздел 10) в секторах с 28-го по 32-й дугами, отстающими от центра круговой диаграммы на величину, соответствующую значению этих оценок.
9.9. Оценка EV3 отображается на круговой диаграмме (см. раздел 10) в секторах с 28-го по 32-й дугой, отстающей от центра круговой диаграммы на величину, соответствующую значению EV3.