Групповой показатель M20 "Организация обеспечения непрерывности бизнеса и его восстановления после прерываний"

┌────────────┬──────────────────────────────────────┬───────────────┬──────────────────────────┬───────────┬─────────────┐

│Обозначение │ Частный показатель ИБ │Обязательность │ Оценка частного │Коэффициент│ Вычисленное │

│ частного │ │ выполнения │ показателя ИБ │значимости │ значение │

│ показателя │ │ ├──┬────┬────┬────┬───┬────┤ частного │ показателя │

│ ИБ │ │ │0 │0,25│0,5 │0,75│ 1 │н/о │показателя │ ИБ │

│ │ │ │ │ │ │ │ │ │ ИБ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.1 │Выделены ли в описи защищаемых │ обязательный │ │ │ │ │ │ │ 0,0876 │ │

│ │информационных активов организации │ │ │ │ │ │ │ │ │ │

│ │активы, существенные для обеспечения │ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса организации? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.2 │Определены ли документально в │ обязательный │ │ │ │ │ │ │ 0,0888 │ │

│ │организации требования обеспечения ИБ,│ │ │ │ │ │ │ │ │ │

│ │регламентирующие вопросы обеспечения │ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса и его │ │ │ │ │ │ │ │ │ │

│ │восстановления после прерывания? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.3 │Определен ли в документах организации │ обязательный │ │ │ │ │ │ │ 0,0907 │ │

│ │план обеспечения непрерывности бизнеса│ │ │ │ │ │ │ │ │ │

│ │и его восстановления после возможного │ │ │ │ │ │ │ │ │ │

│ │прерывания, содержащий инструкции и │ │ │ │ │ │ │ │ │ │

│ │порядок действий работников │ │ │ │ │ │ │ │ │ │

│ │организации, в состав которого │ │ │ │ │ │ │ │ │ │

│ │включены: │ │ │ │ │ │ │ │ │ │

│ │- условия активизации плана; │ │ │ │ │ │ │ │ │ │

│ │- порядок действий, которые должны │ │ │ │ │ │ │ │ │ │

│ │быть предприняты после инцидента ИБ │ │ │ │ │ │ │ │ │ │

│ │(инструкции персонала); │ │ │ │ │ │ │ │ │ │

│ │- процедуры восстановления; │ │ │ │ │ │ │ │ │ │

│ │- процедуры тестирования и проверки │ │ │ │ │ │ │ │ │ │

│ │плана; │ │ │ │ │ │ │ │ │ │

│ │- план обучения и повышения │ │ │ │ │ │ │ │ │ │

│ │осведомленности работников │ │ │ │ │ │ │ │ │ │

│ │организации; │ │ │ │ │ │ │ │ │ │

│ │- обязанности работников организации с│ │ │ │ │ │ │ │ │ │

│ │указанием ответственных за выполнение │ │ │ │ │ │ │ │ │ │

│ │каждого из положений плана? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.4 │Основывается ли разработка планов │ обязательный │ │ │ │ │ │ │ 0,0673 │ │

│ │обеспечения непрерывности бизнеса и │ │ │ │ │ │ │ │ │ │

│ │его восстановления после прерываний на│ │ │ │ │ │ │ │ │ │

│ │документально оформленных результатах │ │ │ │ │ │ │ │ │ │

│ │оценки рисков нарушения ИБ организации│ │ │ │ │ │ │ │ │ │

│ │применительно к информационным │ │ │ │ │ │ │ │ │ │

│ │активам, существенным для обеспечения │ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса и его │ │ │ │ │ │ │ │ │ │

│ │восстановления после прерывания? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.5 │Определены ли документально, │ обязательный │ │ │ │ │ │ │ 0,0801 │ │

│ │реализованы и эксплуатируются ли │ │ │ │ │ │ │ │ │ │

│ │защитные меры обеспечения │ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса применительно к │ │ │ │ │ │ │ │ │ │

│ │информационным активам, существенным │ │ │ │ │ │ │ │ │ │

│ │для обеспечения непрерывности бизнеса │ │ │ │ │ │ │ │ │ │

│ │и его восстановления после прерывания?│ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.6 │Основываются ли реализация и │ обязательный │ │ │ │ │ │ │ 0,0758 │ │

│ │использование защитных мер обеспечения│ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса и его │ │ │ │ │ │ │ │ │ │

│ │восстановления после прерывания на │ │ │ │ │ │ │ │ │ │

│ │соответствующих требованиях │ │ │ │ │ │ │ │ │ │

│ │обеспечения ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.7 │Согласован ли план обеспечения │ обязательный │ │ │ │ │ │ │ 0,0593 │ │

│ │непрерывности бизнеса и его │ │ │ │ │ │ │ │ │ │

│ │восстановления после прерываний с │ │ │ │ │ │ │ │ │ │

│ │существующими в организации │ │ │ │ │ │ │ │ │ │

│ │процедурами обработки инцидентов ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.8 │Определено ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0550 │ │

│ │и выполняется ли периодическое │ │ │ │ │ │ │ │ │ │

│ │тестирование плана обеспечения │ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса и его │ │ │ │ │ │ │ │ │ │

│ │восстановления после прерывания? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.9 │Составлен ли сценарий тестирования │ обязательный │ │ │ │ │ │ │ 0,0587 │ │

│ │плана обеспечения непрерывности │ │ │ │ │ │ │ │ │ │

│ │бизнеса и его восстановления после │ │ │ │ │ │ │ │ │ │

│ │прерывания с учетом существующей в │ │ │ │ │ │ │ │ │ │

│ │организации модели угроз и │ │ │ │ │ │ │ │ │ │

│ │нарушителей, а также результатов │ │ │ │ │ │ │ │ │ │

│ │оценки рисков? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.10 │Проводится ли при необходимости │ обязательный │ │ │ │ │ │ │ 0,0699 │ │

│ │корректировка плана обеспечения │ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса и его │ │ │ │ │ │ │ │ │ │

│ │восстановления после прерывания по │ │ │ │ │ │ │ │ │ │

│ │результатам тестирования? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.11 │Реализована ли в организации программа│ обязательный │ │ │ │ │ │ │ 0,0593 │ │

│ │обучения и повышения осведомленности │ │ │ │ │ │ │ │ │ │

│ │работников в области обеспечения │ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса и его │ │ │ │ │ │ │ │ │ │

│ │восстановления после прерываний? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.12 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0717 │ │

│ │и выполняются ли процедуры регулярного│ │ │ │ │ │ │ │ │ │

│ │пересмотра и обновления плана │ │ │ │ │ │ │ │ │ │

│ │обеспечения непрерывности бизнеса и │ │ │ │ │ │ │ │ │ │

│ │его восстановления после прерывания │ │ │ │ │ │ │ │ │ │

│ │(для обеспечения уверенности в их │ │ │ │ │ │ │ │ │ │

│ │эффективности), учитывающие изменения │ │ │ │ │ │ │ │ │ │

│ │в приоритетах, целях и интересах │ │ │ │ │ │ │ │ │ │

│ │бизнеса организации; пересмотр моделей│ │ │ │ │ │ │ │ │ │

│ │угроз; оценку рисков нарушения ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.13 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0679 │ │

│ │роли по разработке плана обеспечения │ │ │ │ │ │ │ │ │ │

│ │непрерывности бизнеса и его │ │ │ │ │ │ │ │ │ │

│ │восстановления после прерывания? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M20.14 │Назначены ли ответственные за │ обязательный │ │ │ │ │ │ │ 0,0679 │ │

│ │выполнение ролей по разработке плана │ │ │ │ │ │ │ │ │ │

│ │обеспечения непрерывности бизнеса и │ │ │ │ │ │ │ │ │ │

│ │его восстановления после прерывания? │ │ │ │ │ │ │ │ │ │

├────────────┴──────────────────────────────────────┴───────────────┴──┴────┴────┴────┴───┴────┴───────────┼─────────────┤

│Итоговая оценка группового показателя M20 │ │

└──────────────────────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘