СТО БР ИББС-1.0-2008 Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения (утратило силу на основании распоряжения Банка России от 21.06.2010 N Р-705)
7. Система информационной безопасности организаций банковской системы Российской Федерации
7.1. Общие положения
7.1.1. Выполнение требований к СИБ организации БС РФ является основой для обеспечения должного уровня ИБ. Формирование требований к СИБ организации БС РФ должно проводиться на основе:
- положений настоящего раздела стандарта;
- выполнения деятельности в рамках СМИБ организации БС РФ, определенной в разделе 8 настоящего стандарта (в частности, деятельности по разработке планов обработки рисков нарушения ИБ).
Требования к СИБ организации БС РФ должны быть оформлены документально в соответствии с Рекомендациями в области стандартизации Банка России РС БР ИББС-2.0 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методические рекомендации по документации в области обеспечения информационной безопасности в соответствии с требованиями СТО БР ИББС-1.0".
7.1.2. Положения подразделов 7.2-7.9 настоящего стандарта образуют базовый набор требований к СИБ, применимый к большинству организаций БС РФ. В соответствии с особенностями конкретной организации БС РФ данный базовый набор требований может быть расширен путем выполнения деятельности в рамках процессов СМИБ организации БС РФ, например, определения области действия СОИБ организации БС РФ, анализа и оценки рисков нарушения ИБ.
7.1.3. Требования к СИБ должны быть сформированы в том числе для следующих областей:
- назначения и распределения ролей и обеспечения доверия к персоналу;
- обеспечения ИБ на стадиях ЖЦ АБС;
- защиты от НСД и НРД, управления доступом и регистрацией всех действий в АБС, в телекоммуникационном оборудовании, автоматических телефонных станциях и т.д.;
- антивирусной защиты;
- использования ресурсов Интернета;
- использования СКЗИ;
- защиты банковских платежных и информационных технологических процессов.
В конкретной организации БС РФ требования к СИБ могут формироваться и для других областей и направлений деятельности.
7.1.4. При распределении прав доступа работников и клиентов к информационным активам организации БС РФ следует руководствоваться принципами:
- "знать своего клиента";
_______________
"Знать своего клиента" (Know your Customer): принцип, используемый регулирующими органами для выражения отношения к финансовым организациям с точки зрения знания деятельности их клиентов.
- "знать своего служащего";
_______________
"Знать своего служащего" (Know your Employee): принцип, демонстрирующий озабоченность организации по поводу отношения служащих к своим обязанностям и возможных проблем, таких, как злоупотребление имуществом, аферы или финансовые трудности, которые могут приводить к проблемам с безопасностью.
- "необходимо знать",
_______________
"Необходимо знать" (Need to Know): принцип, ограничивающий полномочия по доступу к информации и ресурсам по обработке информации на уровне минимально необходимых для выполнения определенных обязанностей.
а также рекомендуется использовать принцип "двойное управление".
_______________
"Двойное управление" (Dual Control): принцип сохранения целостности процесса и борьбы с искажением функций системы, требующий дублирования (алгоритмического, временного, ресурсного или иного) действий до завершения определенных транзакций.