Стандарт Банка России СТО БР ИББС-1.0-2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения»

Программа курса

• Раздел 1. Вводная часть

  • Отечественное и зарубежное законодательство в области защиты информации и документы Банка России по вопросам обеспечения информационной безопасности
  
  
  • Документы, регламентирующие порядок обеспечения защиты информации в организациях банковской системы
  
  
  • Стандарты по обеспечению информационной безопасности
  
  
  • Комплекс Стандартов Банка России СТО БР ИББС и рекомендаций по стандартизации РС БР ИББС
  
  
  • Подход, используемый в Стандарте
  
  
  • Термины и определения с учетом специфики банковской системы
  
  
  • Исходная концептуальная схема (парадигма) обеспечения информационной безопасности организаций банковской системы Российской Федерации
  
  
  • Модели угроз и нарушителей информационной безопасности организаций банковской системы Российской Федерации
  
  
  • Модели угроз и нарушителей, используемые в нормативных документа и стандартах, их особенности и возможности использования при реализации
  
  
  • Система обеспечения информационной безопасности
  
  
  • Система информационной безопасности
  
  
  • Система менеджмента информационной безопасности
  
  
  • Подразделение информационной безопасности

• Раздел 2. Система информационной безопасности организаций банковской системы Российской Федерации

  • Общие положения
  
  
  • Общие требования по обеспечению информационной безопасности при назначении и распределении ролей и обеспечении доверия к персоналу
    
    
    • Роли и принципы предоставления прав. Процедуры контроля деятельности работников. Процедуры приема на работу. Проверка профессиональных навыков. Регламентирование обязанностей
  
  
  • Общие требования по обеспечению информационной безопасности автоматизированных банковских систем на стадиях жизненного цикла (ЖЦ)
    
    
    • Стадии жизненного цикла. Подход к обеспечению ИБ АБС на стадиях ЖЦ, изложенный в Стандарте. Специфика обеспечения ИБ на каждой стадии ЖЦ
  
  
  • Общие требования по обеспечению информационной безопасности при управлении доступом и регистрацией
    
    
    • Учет информационных активов. Требования к средствам управления доступом. Учет действий и операций. Разделение сегментов вычислительных сетей. Требования в отношении дистанционного банковского обслуживания
  
  
  • Общие требования по обеспечению информационной безопасности средствами антивирусной защиты
    
    
    • Организация системы антивирусной защиты. Принципы применения антивирусных средств
  
  
  • Общие требования по обеспечению информационной безопасности при использовании ресурсов сети Интернет
    
    
    • Определение целей использования сети Интернет. Защитные меры. Контроль использования. Использование сети Интернет для передачи данных. ДБО через интернет. Электронная почта
  
  
  • Общие требования по обеспечению информационной безопасности при использовании средств криптографической защиты информации
    
    
    • Принципы применения. Организация и контроль. Требования к СКЗИ. Порядок применения СКЗИ. Применение СКЗИ для защиты персональных данных
  
  
  • Общие требования по обеспечению информационной безопасности банковских информационных технологических процессов
    
    
    • Организация обеспечения информационной безопасности банковских информационных технологических процессов. Идентификация неплатежной информации и банковских информационных технологических процессов
  
  
  • Общие требования по обработке персональных данных в организации банковской системы Российской Федерации
    
    
    • Организация обработки персональных данных (ПДн). Необходимые действия и процедуры в отношении ПДн и их обработки. Требования к регламентации обработки ПДн. Регламентация доступа работников, учета помещений и использования носителей, связанных с обработкой ПДн. Поручение обработки ПДн третьему лицу и трансграничная передача ПДн
  
  
  • Общие требования по обеспечению информационной безопасности банковских технологических процессов, в рамках которых обрабатываются персональные данные
    
    
    • Уровни защищенности ПДн. Рекомендации по учету угроз утечки персональных данных по техническим каналам, а также угроз, связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационных системах ПДн. Рекомендуемые меры защиты персональных данных. Сегментирование сетей и использование в сертифицированных по требованиям безопасности информации средств защиты информации

• Раздел 3. Система менеджмента информационной безопасности организаций банковской системы (СМИБ) Российской Федерации

  • Общие положения
    
    
    • Группы процессов СМИБ в виде циклической модели Дёминга
  
  
  • Требования к организации и функционированию службы информационной безопасности организации банковской системы Российской Федерации
    
    
    • Рекомендации по численности и бюджету службы ИБ. Минимальные полномочия службы ИБ
  
  
  • Требования к определению/коррекции области действия системы обеспечения информационной безопасности
    
    
    • Рекомендации по классификации и учету информационных активов и объектов среды
  
  
  • Требования к выбору/коррекции подхода к оценке рисков нарушения информационной безопасности и проведению оценки рисков нарушения информационной безопасности
    
    
    • Существующие подходы к оценке рисков, их сравнение и выбор подхода. Требования к методике оценки рисков. Организация деятельности по определению/коррекции методики оценки рисков нарушения ИБ/подхода к оценке рисков нарушения ИБ и по оценке рисков нарушения ИБ
  • Требования к разработке планов обработки рисков нарушения информационной безопасности
    
    
    • Содержание обработки рисков и рекомендации по ее организации
  
  
  • Требования к разработке/коррекции внутренних документов, регламентирующих деятельность в области обеспечения информационной безопасности
    
    
    • Содержание рекомендаций по стандартизации Банка России РС БР ИББС-2.0 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методические рекомендации по документации в области обеспечения информационной безопасности в соответствии с требованиями СТО БР ИББС-1.0». Состав и содержание системы внутренних документов. Организация разработки, поддержки, пересмотра и контроля исполнения внутренних документов, регламентирующих деятельность по обеспечению ИБ
  
  
  • Требования к принятию руководством организации банковской системы Российской Федерации решений о реализации и эксплуатации системы обеспечения информационной безопасности
    
    
    • Вопросы обеспечения ИБ, требующие оформленного решения руководства организации. Требования к планам реализации требований ИБ, планов обработки рисков нарушения ИБ и внедрения защитных мер
  
  
  • Требования к организации реализации планов внедрения системы обеспечения информационной безопасности
  
  
  • Требования к разработке и организации реализации программ по обучению и повышению осведомленности в области информационной безопасности
    
    
    • Содержание обучения и повышения осведомленности в области информационной безопасности. Свидетельства выполнения программ обучения и повышения осведомленности в области ИБ
  
  
  • Требования к организации обнаружения и реагирования на инциденты информационной безопасности
    
    
    • Инциденты ИБ и их обработка. Обзор содержания рекомендаций по стандартизации Банка России РС БР ИББС-2.5 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Менеджмент инцидентов информационной безопасности»
  
  
  • Требования к организации обеспечения непрерывности бизнеса и его восстановления после прерываний
    
    
    • Рекомендации по планированию обеспечения непрерывности бизнеса и его восстановления после возможного прерывания, требования по поддержке и актуализации плана
  
  
  • Требования к мониторингу информационной безопасности и контролю защитных мер
  
  
  • Требования к проведению самооценки и аудита информационной безопасности
    
    
    • Самооценка и аудит, их сходство и различие. Регламентация организации и проведения самооценки и аудита
  
  
  • Обзор требований стандартов Банка России СТО БР ИББС-1.1 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Аудит информационной безопасности» и СТО БР ИББС-1.2 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0»
  
  
  • Требования к анализу функционирования системы обеспечения информационной безопасности (СОИБ)
    
    
    • Состав процедур анализа функционирования СОИБ. Содержание анализа функционирования СОИБ.
  
  
  • Требования к анализу системы обеспечения информационной безопасности со стороны руководства организации банковской системы Российской Федерации
    
    
    • Состав информации, предоставляемой руководству организации БС РФ с целью проведения анализа СОИБ. Планирование деятельности по контролю и анализу СОИБ
  
  
  • Требования к принятию решений по тактическим улучшениям системы обеспечения информационной безопасности.
    
    
    • Содержание тактических улучшений. Исходные данные для принятия решений, связанных с тактическими улучшениями СОИБ. Организация и оформление деятельности по принятию и реализации тактических улучшений
  
  
  • Требования к принятию решений по стратегическим улучшениям системы обеспечения информационной безопасности
    
    
    • Содержание стратегических улучшений. Исходные данные для принятия решений, связанных с стратегическими улучшениями СОИБ. Организация и оформление деятельности по принятию и реализации стратегических улучшений
  
  
  • Проверка и оценка информационной безопасности организаций банковской системы Российской Федерации
    
    
    • Цели проверки и оценки ИБ организаций банковской системы Российской Федерации. Процессы проверки и оценки ИБ организаций банковской системы Российской Федерации, их взаимосвязь. Рекомендуемая периодичность проведения аудита и самооценки

• Итоговый зачет