Стандарт Банка России СТО БР ИББС-1.2-2007 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2006" (введен в действие распоряжением ЦБР от 28 апреля 2007 г. N Р-346) (не действует)

Стандарт Банка России
СТО БР ИББС-1.2-2007
"Обеспечение информационной безопасности организаций банковской системы Российской Федерации.
Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2006"
(введен в действие распоряжением ЦБР от 28 апреля 2007 г. N Р-346)

Дата введения: 2007-05-01

Введен впервые

ГАРАНТ:

Взамен настоящего Стандарта распоряжением ЦБР от 7 мая 2009 г. N Р-496 с 1 июня 2009 г. введен в действие Стандарт Банка России СТО БР ИББС-1.2-2009 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2008"

Введение

Стандартом Банка России СТО БР ИББС-1.0-2006 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" (далее - СТО БР ИББС-1.0) с целью проверки уровня информационной безопасности (ИБ) как самого Банка России, так и организаций банковской системы (БС) Российской Федерации (РФ) определено требование проведения регулярной внешней и внутренней оценки ИБ, а также самооценки ИБ.

ГАРАНТ:

См. Стандарт Банка России СТО БР ИББС-1.0-2008 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения" (принят и введен в действие распоряжением ЦБР от 25 декабря 2008 г. N Р-1674)

Настоящий стандарт устанавливает способы определения степени выполнения требований СТО БР ИББС-1.0, а также итогового уровня соответствия ИБ требованиям СТО БР ИББС-1.0 при проведении внутренней и (или) внешней оценки и самооценки ИБ.

1. Область применения

Настоящая методика распространяется на организации БС РФ, а также на организации, проводящие оценку уровня обеспечения ИБ организации БС РФ в соответствии с требованиями СТО БР ИББС-1.0.

Настоящий стандарт рекомендован для применения путем включения ссылок на него и (или) прямого использования устанавливаемых в нем положений во внутренних документах организации БС РФ.

Положения настоящего стандарта применяются на добровольной основе, если только в отношении конкретных положений обязательность не установлена действующим законодательством Российской Федерации, нормативным правовым актом Банка России или условиями договора.

2. Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на стандарт СТО БР ИББС-1.0.

3. Термины и определения

В настоящем документе применены термины в соответствии с СТО БР ИББС-1.0, стандартом Банка России СТО БР ИББС-1.1-2007 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности", а также следующие термины с соответствующими определениями.

3.1. Показатель информационной безопасности: Мера или характеристика для оценки информационной безопасности.

3.2. Проверяющая организация: Организация, проводящая оценку соответствия информационной безопасности организации БС РФ требованиям СТО БР ИББС-1.0.

3.3. Проверяемая организация: Организация БС РФ, информационная безопасность которой подвергается оценке на соответствие требованиям СТО БР ИББС-1.0.

4. Обозначения и сокращения

АБС - автоматизированная банковская система;

БС - банковская система;

ЖЦ - жизненный цикл;

ИБ - информационная безопасность;

ЛВС - локальная вычислительная сеть;

НСД - несанкционированный доступ;

РФ - Российская Федерация;

СКЗИ - средство криптографической защиты информации;

СМИБ - система менеджмента информационной безопасности;

ЭВМ - электронная вычислительная машина;

 - коэффициент значимости частного показателя;

EV1 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "текущий уровень ИБ организации";

EV2 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "менеджмент ИБ организации";

 - оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих процессы планирования СМИБ;

 - оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих процессы проверки СМИБ;

 - оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих процессы реализации и эксплуатации СМИБ;

 - оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих процессы совершенствования СМИБ;

EV3 - оценка степени выполнения требований СТО БР ИББС-1.0 по направлению "уровень осознания ИБ организации";

 - оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих банковский информационный технологический процесс;

 - оценка степени выполнения требований СТО БР ИББС-1.0, регламентирующих банковский платежный технологический процесс;

 - оценка степени выполнения требований СТО БР ИББС-1.0 для группового показателя;

 - оценка степени выполнения требований СТО БР ИББС-1.0 для частного показателя;

i - номер группового показателя;

j - номер частного показателя;

Mi.j - обозначение частного показателя;

R - итоговый уровень соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0.

5. Общие положения

5.1. Целью настоящей методики является стандартизация подходов и способов оценки, используемых для определения уровня соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0 по направлениям оценки:

- текущий уровень ИБ организации;

- менеджмент ИБ организации;

- уровень осознания ИБ организации.

5.2. Задачами настоящей методики являются:

- определение состава показателей ИБ и способов их оценивания;

- определение способа оценивания текущего уровня ИБ организации БС РФ с помощью установления степени выполнения требований, определенных в разделе 8 СТО БР ИББС-1.0;

- определение способа оценивания менеджмента ИБ организации БС РФ с помощью установления степени выполнения требований, определенных в разделе 9 СТО БР ИББС-1.0;

- определение способа оценивания уровня осознания ИБ организации БС РФ с помощью установления степени выполнения принципов, определенных в разделе 6 СТО БР ИББС-1.0;

- определения итогового уровня соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0.

6. Показатели информационной безопасности. Способы оценивания показателей

6.1. Для оценки степени соответствия ИБ организации БС РФ требованиям СТО БР ИББС-1.0 используются групповые и частные показатели ИБ. Групповые показатели ИБ образуют структуру направлений оценки, детализируя оценки текущего уровня ИБ, менеджмента и уровня осознания ИБ. Оценки групповых показателей () используются для получения оценки по направлениям (EV1, EV2 и EV3). Частные показатели ИБ входят в состав групповых показателей и представлены в виде вопросов, ответы на которые дают возможность определить оценки (), которые затем формируют оценки групповых показателей.

Приложение А содержит формы, предназначенные для заполнения при проведении оценки. Каждая из форм содержит групповой показатель ИБ, входящие в него частные показатели ИБ, метрику (шкалу) для оценивания частных показателей и коэффициенты значимости частных показателей ИБ, используемые при вычислении группового показателя.

6.2. Все частные показатели должны быть оценены. Оценка частного показателя формируется на основании выявленной аудиторской группой степени выполнения требований посредством экспертного оценивания. Устанавливается следующая шкала степени выполнения требований:

- "нет" - оценке присваивается значение, равное нулю;

- "частично" - оценке присваивается значение 0,25; 0,5 или 0,75;

- "да" - оценке присваивается значение, равное единице.

Оценивание частного показателя должно сопровождаться внесением символа, например "X", в соответствующую графу представленных в приложении А форм. Если частный показатель предназначен для оценки требований, которые не относятся к деятельности организации БС РФ, что документально зафиксировано, то данный частный показатель определяется как неоцениваемый (должна быть заполнена графа "н/о" - нет оценки) и не учитывается в формировании дальнейших результатов оценки. Определение частного показателя как неоцениваемого может быть реализовано путем исключения частного показателя ИБ из числа оцениваемых, при этом необходимо выполнить процедуру перенормировки коэффициентов значимости оставшихся частных показателей ИБ в рамках группового показателя.

6.3. Для выявления степени выполнения требований ИБ при проведении оценки частных показателей рекомендуется использовать следующий общий подход:

Таблица 1. Рекомендуемые критерии выставления оценок частных показателей ИБ

Оценка частного показателя ИБ	Критерий выставления оценки частного показателя ИБ
0	Требования, степень выполнения которых оценивается в частном показателе ИБ, не установлены во внутренних нормативных документах проверяемой организации БС РФ и не выполняются
0	Требования, степень выполнения которых оценивается в частном показателе ИБ, частично установлены в нормативных документах проверяемой организации БС РФ, но не выполняются
0,25	Требования, степень выполнения которых оценивается в частном показателе ИБ, полностью установлены в нормативных документах проверяемой организации БС РФ, но не выполняются
0,25	Требования, степень выполнения которых оценивается в частном показателе ИБ, не установлены во внутренних нормативных документах проверяемой организации БС РФ и выполняются в неполном объеме
0,25	Требования, степень выполнения которых оценивается в частном показателе ИБ, частично установлены во внутренних нормативных документах проверяемой организации БС РФ и выполняются в неполном объеме
0,5	Требования, степень выполнения которых оценивается в частном показателе ИБ, полностью установлены во внутренних нормативных документах проверяемой организации БС РФ и выполняются в неполном объеме
0,5	Требования, степень выполнения которых оценивается в частном показателе ИБ, не установлены во внутренних нормативных документах проверяемой организации БС РФ, но выполняются в полном объеме
0,75	Требования, степень выполнения которых оценивается в частном показателе ИБ, частично установлены во внутренних нормативных документах проверяемой организации БС РФ, но выполняются в полном объеме
1	Требования, степень выполнения которых оценивается в частном показателе ИБ, полностью установлены во внутренних нормативных документах проверяемой организации БС РФ и выполняются в полном объеме

6.4. Оценка частного показателя ИБ должна основываться на свидетельствах аудита, в качестве основных источников которых рекомендуется использовать:

- внутренние нормативные документы проверяемой организации и при необходимости документы третьих лиц, относящиеся к обеспечению ИБ организации БС РФ;

- устные высказывания сотрудников проверяемой организации в процессе проводимых опросов;

- результаты наблюдений членов аудиторской группы за деятельностью сотрудников проверяемой организации в области ИБ.

В процессе проведения устного опроса сотрудников проверяемой организации и наблюдений за деятельностью указанных сотрудников члены аудиторской группы должны сделать вывод о степени соответствия оцениваемой деятельности требованиям внутренних нормативных документов проверяемой организации БС РФ.

Полученные свидетельства аудита ИБ и источники их получения должны быть задокументированы путем составления листов для сбора свидетельств аудита ИБ, пример которых приведен в Приложении Б. При заполнении листов для сбора свидетельств аудита ИБ необходимо указать ссылки на соответствующие внутренние нормативные документы проверяемой организации, результаты опроса сотрудников проверяемой организации, а также результаты наблюдений членов аудиторской группы. Результаты опроса и наблюдений должны быть подтверждены подписью опрашиваемого сотрудника организации БС РФ или члена аудиторской группы соответственно.

6.5. Оценка группового показателя () вычисляется из оценок входящих в него частных показателей () с учетом коэффициентов значимости , определяющих важность частного показателя для оценивания группового показателя:

.

При формировании коэффициентов значимости учитывалось следующее условие нормировки:

,

где k - число частных показателей в i-ом групповом показателе.

Коэффициенты значимости для каждого частного показателя приведены в приложении А.

7. Оценка текущего уровня информационной безопасности организации банковской системы Российской Федерации

7.1. Текущий уровень ИБ организации БС РФ определяется с помощью групповых и частных показателей ИБ, позволяющих оценить степень выполнения требований ИБ СТО БР ИББС-1.0 для следующих областей:

- назначение и распределение ролей, обеспечение доверия к персоналу;

- стадии жизненного цикла автоматизированных банковских систем;

- управление доступом и регистрация;

- антивирусная защита;

- использование ресурсов сети Интернет;

- использование средств криптографической защиты информации;

- банковские платежные технологические процессы;

- банковские информационные технологические процессы.

7.2. Групповые показатели текущего уровня ИБ отражают совокупность требований ИБ к областям, определенным в разделе 8 СТО БР ИББС-1.0. Таблица 2 отражает соответствие между структурными элементами СТО БР ИББС-1.0, содержащими требования ИБ, и групповыми показателями ИБ, предназначенными для проверки реализации данных требований.

Таблица 2. Соответствие групповых показателей ИБ совокупности требований ИБ к областям, определенным в разделе 8 СТО БР ИББС-1.0

Обозначе- ние группового показателя ИБ	Наименование группового показателя ИБ	Структурный элемент СТО БР ИББС-1.0
М1	Обеспечение ИБ при назначении и распределении ролей и обеспечении доверия к персоналу	п. 8.2.2
М2	Обеспечение ИБ автоматизированных банковских систем на стадиях жизненного цикла	п. 8.2.3
М3	Обеспечение ИБ при управлении доступом и регистрации	п. 8.2.4
М4	Обеспечение ИБ средствами антивирусной защиты	п. 8.2.5
М5	Обеспечение ИБ при использовании ресурсов сети Интернет	п. 8.2.6
М6	Обеспечение ИБ при использовании средств криптографической защиты информации	п. 8.2.7
М7	Выполнение правил обеспечения ИБ банковских платежных технологических процессов	п. 8.2.8
М8	Выполнение правил обеспечения ИБ банковских информационных технологических процессов	п. 8.2.9

7.3. Частные показатели текущего уровня ИБ отражают отдельные требования ИБ СТО БР ИББС-1.0, предъявляемые по каждой из областей. Частные показатели текущего уровня ИБ (показатели ) и метрики приведены в приложении А.

7.4. Оценка частного показателя ИБ () определяется посредством экспертного оценивания. Для принятия решения следует проводить анализ нормативных, распорядительных, программных и других документов организации БС РФ, имеющих отношение к проверяемым областям ИБ, и уточнять полученную информацию с помощью опросов сотрудников организации БС РФ и наблюдения за деятельностью.

Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о невыполнении соответствующих требований ИБ, то оценке присваивается значение, равное нулю.

Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о частичном выполнении соответствующих требований ИБ, то оценка по решению аудиторской группы может быть установлена равной 0,25; 0,5 или 0,75 (в зависимости от степени выполнения требований ИБ).

Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о полном выполнении соответствующих требований ИБ, то оценке присваивается значение, равное единице.

7.5. Оценка группового показателя () вычисляется из оценок входящих в него частных показателей () с учетом коэффициентов значимости :

,

где ;

- количество частных показателей ИБ, входящих в групповой показатель ;

.

Коэффициенты значимости для каждого частного показателя приведены в приложении А.

7.6. Оценивание частных показателей в рамках групповых показателей необходимо осуществлять по результатам анализа выполнения соответствующих требований СТО БР ИББС-1.0 применительно к организации БС РФ в целом, включая банковский платежный технологический процесс и банковский информационный технологический процесс.

7.7. Оценки и , полученные в результате оценивания групповых показателей ИБ , вносятся в соответствующие графы представленных в приложении А форм.

7.8. Итоговая оценка EV1, отражающая текущий уровень ИБ организации БС РФ, определяется по наименьшему значению из оценок уровней ИБ банковского платежного технологического процесса и банковского информационного технологического процесса.

7.9. Оценка уровня ИБ банковского платежного технологического процесса вычисляется по формуле:

.

Оценка уровня ИБ банковского информационного технологического процесса вычисляется по формуле:

.

7.10. Оценки , полученные в результате оценивания групповых показателей ИБ , отображаются на круговой диаграмме (см. раздел 10) в секторах с 1-го по 8-й дугами, отстающими от центра круговой диаграммы на величину, соответствующую значению этих оценок.

7.11. Оценка EV1 отображается на круговой диаграмме (см. раздел 10) в секторах с 1-го по 8-й дугой, отстающей от центра круговой диаграммы на величину, соответствующую значению EV2.

8. Оценка процессов системы менеджмента информационной безопасности организации банковской системы Российской Федерации

8.1. Групповые показатели по направлению оценки "менеджмент ИБ организации" оцениваются по стадиям циклической модели менеджмента ИБ. Групповые показатели предназначены для оценки процессов планирования системы менеджмента ИБ (СМИБ). Групповые показатели предназначены для оценки процессов реализации СМИБ. Групповые показатели предназначены для оценки процессов проверки СМИБ. Групповые показатели предназначены для оценки процессов совершенствования СМИБ.

8.2. Таблица 3 отражает соответствие между структурными элементами СТО БР ИББС-1.0 и групповыми показателями ИБ, предназначенными для оценивания процессов менеджмента ИБ. Наименования групповых показателей соответствуют наименованиям процессов СМИБ организации БС РФ, установленных в СТО БР ИББС-1.0.

Таблица 3. Соответствие групповых показателей ИБ процессам СМИБ, представленным в СТО БР ИББС-1.0

Обозна- чение группо- вого показа- теля ИБ	Наименование группового показателя ИБ	Структурный элемент СТО БР ИББС-1.0
Планирование СМИБ
М9	Определение/уточнение области действия СМИБ и выбор подхода к оценке рисков ИБ	элемент перечисления а) раздела 9.1
М10	Анализ и оценка рисков ИБ, варианты обработки рисков ИБ	элемент перечисления б) раздела 9.1
М11	Определение/уточнение политики ИБ организации БС РФ	элемент перечисления в) раздела 9.1
М12	Выбор/уточнение целей ИБ и защитных мер	элемент перечисления г) раздела 9.1
М13	Принятие руководством организации БС РФ остаточных рисков и решения о реализации и эксплуатации/совершенствовании СМИБ	элемент перечисления д) раздела 9.1, раздел 9.7
Реализация и эксплуатация СМИБ
М14	Разработка плана обработки рисков ИБ	элемент перечисления а) раздела 9.2
М15	Реализация плана обработки рисков ИБ и реализация защитных мер, управление работами и ресурсами, связанными с реализацией СМИБ	элемент перечисления б) раздела 9.2
М16	Реализация программ по обучению и осведомлению ИБ	элемент перечисления в) раздела 9.2
М17	Обнаружение и реагирование на инциденты безопасности	элемент перечисления г) раздела 9.2
М18	Обеспечение непрерывности бизнеса и восстановления после прерываний	элемент перечисления д) раздела 9.2, раздел 9.6
Проверка (мониторинг и анализ) СМИБ
М19	Мониторинг и контроль защитных мер, включая регистрацию действий и событий, связанных со СМИБ	элемент перечисления а) раздела 9.3, раздел. 10.9
М20	Анализ эффективности СМИБ, включая анализ уровней остаточного и приемлемого рисков ИБ	элемент перечисления б) раздела 9.3
М21	Внутренний аудит СМИБ	элемент перечисления в) раздела 9.3, раздел 10
М22	Анализ СМИБ со стороны высшего руководства	элемент перечисления г) раздела 9.3
М23	Внешний аудит СМИБ	элемент перечисления д) раздела 9.3, раздел 10
Совершенствование СМИБ
М24	Реализация тактических улучшений в СМИБ	элемент перечисления а) раздела 9.4
М25	Реализация стратегических улучшений СМИБ. Использование опыта	элемент перечисления б) раздела 9.4
М26	Информирование об изменениях и их согласование с заинтересованными сторонами	элемент перечисления в) раздела 9.4
М27	Оценка достижения поставленных целей	элемент перечисления г) раздела 9.4

8.3. Частные показатели по направлению оценки "менеджмент ИБ организации" (показатели ) и метрики приведены в приложении А.

8.4. Оценка частного показателя ИБ () определяется посредством экспертного оценивания. Для принятия решения следует производить анализ нормативных, распорядительных, программных и других документов организации БС РФ, имеющих отношение к проверяемым областям ИБ, и уточнять полученную информацию с помощью опросов сотрудников организации БС РФ и наблюдения за деятельностью.

Если в результате оценивания частного показателя Mi.j аудиторской группой сделан вывод о невыполнении соответствующих требований ИБ (отсутствии процессов менеджмента), то оценке присваивается значение, равное нулю.

Если в результате оценивания ч