СТО БР ИББС-1.2-2009 Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2008 (утратило силу на основании распоряжения Банка России от 21.06.2010 N Р-705)

Обозначение

Частный показатель ИБ

Обязательность

Оценка частного показателя ИБ

Коэффициент

Вычисленное

частного показателя ИБ

выполнения

0

0,25

0,5

0,75

1

н/о

значимости частного показателя ИБ

значение показателя ИБ

М2.1

Рассматриваются ли при формировании требований ИБ следующие стадии модели ЖЦ АБС:

- разработка технических заданий;

- проектирование;

- создание и тестирование;

- приемка и ввод в действие;

- эксплуатация;

- сопровождение и модернизации;

- снятие с эксплуатации?

рекомендуемый

0,0504

М2.2

Осуществляются ли разработка технических заданий и приемка АБС по согласованию и при участии подразделения (лиц) в организации, ответственных за обеспечение ИБ?

обязательный

0,0616

М2.3

Осуществляются ли ввод в действие, эксплуатация и сопровождение (модернизация), снятие с эксплуатации АБС под контролем подразделений (лиц) в организации, ответственных за обеспечение ИБ?

обязательный

0,0591

М2.4

Имеют ли соответствующие лицензии организации, которые привлекаются на договорной основе для разработки и (или) производства средств и систем защиты АБС?

обязательный

0,0563

М2.5

Снабжены ли разрабатываемые АБС и(или) их компоненты документацией, содержащей описание реализованных защитных мер, в том числе в отношении угроз ИБ (источников угроз), описанных в модели угроз организации?

обязательный

0,0646

М2.6

Снабжены ли приобретаемые организацией АБС и(или) их компоненты документацией, содержащей описание реализованных защитных мер, в том числе в отношении угроз ИБ (источников угроз), описанных в модели угроз организации?

рекомендуемый

0,0604

М2.7

Содержит ли документация на разрабатываемые АБС или приобретаемые готовые АБС и их компоненты описание реализованных защитных мер, предпринятых разработчиком относительно безопасности разработки и безопасности поставки?

обязательный

0,0450

М2.8

Реализуется ли при взаимодействии организации с разработчиком АБС и их компонентов одна из трех альтернатив:

1) в договор (контракт) о разработке АБС или поставке готовых АБС и их компонентов включаются положения по сопровождению поставляемых изделий на весь срок их службы;

2) организация приобретает полный комплект рабочей конструкторской документации, обеспечивающий возможность сопровождения АБС и их компонентов без участия разработчика;

3) руководство организации оценивает и документально оформляет допустимость риска нарушения ИБ, возникающего при невозможности сопровождения АБС и их компонентов?

обязательный

0,0604

М2.9

Учитывается ли при разработке технических заданий на системы дистанционного банковского обслуживания, что защита данных должна обеспечиваться в условиях:

- попыток доступа к банковской информации анонимных, неавторизованных злоумышленников при использовании сетей общего пользования;

- возможности ошибок авторизованных пользователей систем;

- возможности ненамеренного или неадекватного использования конфиденциальных данных авторизованными пользователями?

обязательный

0,0596

М2.10

Обеспечиваются ли на стадии тестирования анонимность данных и проверка адекватности разграничения доступа?

обязательный

0,0474

М2.11

Определены ли в документах организации и выполняются ли на стадии эксплуатации АБС процедуры контроля работоспособности (функционирования, эффективности) реализованных в АБС защитных мер?

обязательный

0,0700

М2.12

Предусматривают ли указанные в частном показателе М2.11 процедуры документальную фиксацию результатов контроля?

обязательный

0,0626

М2.13

Определены ли в документах организации и выполняются ли на стадии сопровождения (модернизации) АБС процедуры контроля, обеспечивающие защиту от:

- умышленного несанкционированного раскрытия, модификации или уничтожения информации;

- неумышленной модификации, раскрытия или уничтожения информации;

- отказа в обслуживании или ухудшения обслуживания?

обязательный

0,0596

М2.14

Предусматривают ли указанные в частном показателе М2.13 процедуры документальную фиксацию результатов контроля?

обязательный

0,0533

М2.15

Проводятся ли на стадии сопровождения (модернизации) при любом внесении изменений в АБС процедуры проверки функциональности, результаты которых документируются?

обязательный

0,0646

М2.16

Определены ли документально и выполняются ли на стадии снятия с эксплуатации процедуры, обеспечивающие удаление информации, несанкционированное использование которой может нанести ущерб бизнес-деятельности организации, и информации, используемой средствами обеспечения ИБ, из постоянной памяти АБС и с внешних носителей (за исключением архивов электронных документов и протоколов электронного взаимодействия, ведение и сохранность которых в течение определенного срока предусмотрены соответствующими нормативными и(или) договорными документами)?

обязательный

0,0675

М2.17

Предусматривают ли указанные в частном показателе М2.16 процедуры документальную фиксацию результатов их выполнения?

обязательный

0,0576

Итоговая оценка группового показателя М2