Таблица 7. Рекомендуемые критерии выставления оценок частных показателей ИБ на основе оценки вопросов Приложения В

┌─────────────┬───────────────────────────────────────────────────────────┐

│Максимальная │ Критерий выставления оценки частного показателя ИБ │

│ оценка │ │

│ частного │ │

│показателя ИБ│ │

├─────────────┼───────────────────────────────────────────────────────────┤

│ 0 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, не установлены во │

│ │внутренних нормативных документах проверяемой организации │

│ │и не выполняются │

│ 0 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, частично установлены во │

│ │внутренних нормативных документах проверяемой организации, │

│ │но не выполняются │

│ 0,25 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, полностью установлены во │

│ │внутренних нормативных документах проверяемой организации, │

│ │но не выполняются │

│ 0,25 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, не установлены во │

│ │внутренних нормативных документах проверяемой организации │

│ │и выполняются в неполном объеме │

│ 0,25 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, частично установлены во │

│ │внутренних нормативных документах проверяемой организации │

│ │и выполняются в неполном объеме │

│ 0,5 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, полностью установлены во │

│ │внутренних нормативных документах проверяемой организации │

│ │и выполняются в неполном объеме │

│ 0,5 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, не установлены во │

│ │внутренних нормативных документах проверяемой организации, │

│ │но выполняются в полном объеме │

│ 0,75 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, частично установлены во │

│ │внутренних нормативных документах проверяемой организации, │

│ │но выполняются в полном объеме │

│ 1 │Требования всех вопросов Приложения В, соответствующих │

│ │оцениваемому частному показателю, полностью установлены во │

│ │внутренних нормативных документах проверяемой организации │

│ │и выполняются в полном объеме │

└─────────────┴───────────────────────────────────────────────────────────┘

В ряде случаев оценивание всех вопросов из составленного перечня Приложения В может оказаться недостаточным для оценивания частного показателя. В этом случае оценка частного показателя должна проводиться в соответствии с требованиями раздела 6 настоящего стандарта.

Результаты оценивания вопросов Приложения В должны быть документально оформлены путем составления соответствующих листов для сбора свидетельств аудита ИБ, пример которых приведен в Приложении Б. При заполнении листов для сбора свидетельств аудита ИБ необходимо указать ссылки на соответствующие вопросы Приложения В и документы, содержащие свидетельства выполнения оцениваемой деятельности, привести результаты опроса сотрудников проверяемой организации, а также результаты наблюдений членов аудиторской группы. Результаты опроса и наблюдений должны быть подтверждены подписью опрашиваемого сотрудника или члена аудиторской группы соответственно.

10.5. Все вопросы Приложения В должны быть оценены. Однако перед оцениванием этих вопросов следует провести анализ актуальности соответствующих им требований для деятельности проверяемой организации. Неактуальным вопрос может быть признан только в том случае, если соответствующее ему требование не относится к деятельности организации или на момент оценки не является актуальным для организации, что документально зафиксировано во внутренних документах организации. В этом случае вопрос определяется как не оцениваемый (выставляется оценка "1") и не учитывается в дальнейшем формировании оценок частных показателей. Решение о признании вопроса Приложения В как не оцениваемого должно приниматься ответственным за процесс оценки из числа представителей проверяемой организации и оформляться документально.

10. Особенности оценки степени выполнения требований СТО БР ИББС-1.0, регламентирующих защиту персональных данных в информационных системах персональных данных 11. Определение уровня соответствия информационной безопасности организации банковской системы Российской Федерации требованиям СТО БР ИББС-1.0. Отображение оценок