9.1. Проверка и оценка ИБ организаций БС РФ проводится путем выполнения следующих процессов:
- мониторинга и контроля защитных мер;
- самооценки ИБ;
- аудита ИБ;
- анализа функционирования СОИБ (в том числе со стороны руководства).
Указанные процессы являются частью группы процессов "проверка" СМИБ, требования к которым приведены в разделе 8 настоящего стандарта.
9.2. Основными целями мониторинга и контроля защитных мер в организации БС РФ являются оперативное и постоянное наблюдение, сбор, анализ и обработка данных под заданные цели. Такими целями анализа могут быть:
- контроль за реализацией положений внутренних документов по обеспечению ИБ в организации БС РФ;
- выявление нештатных, в том числе злоумышленных, действий в АБС организации;
- выявление инцидентов ИБ.
Мониторинг и контроль защитных мер проводится персоналом организации БС РФ, ответственным за ИБ.
Требования к проведению мониторинга и контроля защитных мер в организации БС РФ определены в подразделе 8.12 настоящего стандарта.
9.3. При подготовке к аудиту ИБ рекомендуется проведение самооценки ИБ. Самооценка ИБ проводится собственными силами и по инициативе руководства организации.
Порядок проведения самооценки ИБ в организации БС РФ определен в рекомендациях в области стандартизации Банка России РС БР ИББС-2.1 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Руководство по самооценке соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям стандарта СТО БР ИББС-1.0".
В процессе самооценки ИБ проводятся оценка степени выполнения требований настоящего стандарта и на ее основе - вычисление итогового уровня ИБ организации БС РФ. Порядок проведения указанной деятельности (оценка и вычисление) регламентируется стандартом Банка России СТО БР ИББС-1.2 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0".
9.4. Аудит ИБ, проводимый внешними по отношению к организации БС РФ независимыми проверяющими организациями, является одной из форм проверки и оценки (контроля) выполнения организацией БС РФ требований настоящего стандарта.
Аудит ИБ проводится как для собственных целей самой организации БС РФ, так и с целью повышения доверия к ней со стороны других организаций.
Аудит ИБ проводится в соответствии с требованиями подраздела 8.14 настоящего стандарта, а также в соответствии с требованиями стандартов Банка России СТО БР ИББС-1.1 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности".
В процессе аудита ИБ проводятся оценка степени выполнения требований настоящего стандарта и на ее основе - вычисление итогового уровня ИБ организации БС РФ. Порядок проведения указанной деятельности (оценка и вычисление) регламентируется стандартом Банка России СТО БР ИББС-1.2 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0".
В качестве проверяющих организаций рекомендуется привлекать организации, имеющие квалификацию и опыт проведения оценки соответствия ИБ требованиям настоящего стандарта.
Порядок проведения работ по контролю и надзору, включающий, в частности, вопросы: проведения ведомственного контроля (с участием Банка России, предприятий лицензиатов, самооценки);
государственного контроля, предусмотренного Федеральным законом "О персональных данных" [5], со стороны ФСБ России и ФСТЭК России;
взаимодействия сторон при проведении указанных видов контроля;
согласования планов, информационного взаимодействия, форм предоставления отчетности и т.д.;
а также регламентация обеспечения безопасности персональных данных при использовании средств криптографической защиты информации будут изложены в отдельных документах.
9.5. Анализ функционирования СОИБ проводится персоналом организации БС РФ, ответственным за обеспечение ИБ, а также руководством, в том числе на основании подготовленных для руководства документов (данных).
Основными целями проведения анализа функционирования СОИБ являются:
- оценка эффективности СОИБ;
- оценка соответствия СОИБ требованиям законодательства Российской Федерации и стандартов Банка России;