Групповой показатель M15 "Определение/коррекция внутренних документов, регламентирующих деятельность в области обеспечения ИБ"

┌────────────┬──────────────────────────────────────┬───────────────┬──────────────────────────┬───────────┬─────────────┐

│Обозначение │ Частный показатель ИБ │Обязательность │ Оценка частного │Коэффициент│ Вычисленное │

│ частного │ │ выполнения │ показателя ИБ │значимости │ значение │

│ показателя │ │ ├──┬────┬────┬────┬───┬────┤ частного │ показателя │

│ ИБ │ │ │0 │0,25│0,5 │0,75│ 1 │н/о │показателя │ ИБ │

│ │ │ │ │ │ │ │ │ │ ИБ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.1 │Проводятся ли разработка и коррекция │ рекомендуемый │//│////│////│////│ │ │ 0,0406 │ │

│ │внутренних документов, │ │//│////│////│////│ │ │ │ │

│ │регламентирующих деятельность в │ │//│////│////│////│ │ │ │ │

│ │области обеспечения ИБ в организации, │ │//│////│////│////│ │ │ │ │

│ │с учетом рекомендаций по │ │//│////│////│////│ │ │ │ │

│ │стандартизации Банка России РС БР │ │//│////│////│////│ │ │ │ │

│ │ИББС-2.0 "Обеспечение информационной │ │//│////│////│////│ │ │ │ │

│ │безопасности организаций банковской │ │//│////│////│////│ │ │ │ │

│ │системы Российской Федерации. │ │//│////│////│////│ │ │ │ │

│ │Методические рекомендации по │ │//│////│////│////│ │ │ │ │

│ │документации в области обеспечения │ │//│////│////│////│ │ │ │ │

│ │информационной безопасности в │ │//│////│////│////│ │ │ │ │

│ │соответствии с требованиями СТО БР │ │//│////│////│////│ │ │ │ │

│ │ИББС-1.0"? │ │//│////│////│////│ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.2 │Разработана ли политика ИБ │ обязательный │ │ │ │ │ │ │ 0,0628 │ │

│ │организации? Утверждена ли политика ИБ│ │ │ │ │ │ │ │ │ │

│ │руководством? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.3 │Корректируется ли политика ИБ │ обязательный │ │ │ │ │ │ │ 0,0557 │ │

│ │организации? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.4 │Разработаны ли частные политики ИБ │ обязательный │ │ │ │ │ │ │ 0,0580 │ │

│ │организации? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.5 │Корректируются ли частные политики ИБ │ обязательный │ │ │ │ │ │ │ 0,0557 │ │

│ │организации? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.6 │Разработаны ли в организации │ обязательный │ │ │ │ │ │ │ 0,0510 │ │

│ │документы, регламентирующие процедуры │ │ │ │ │ │ │ │ │ │

│ │выполнения отдельных видов │ │ │ │ │ │ │ │ │ │

│ │деятельности, связанных с обеспечением│ │ │ │ │ │ │ │ │ │

│ │ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.7 │Корректируются ли в организации │ обязательный │ │ │ │ │ │ │ 0,0489 │ │

│ │документы, регламентирующие процедуры │ │ │ │ │ │ │ │ │ │

│ │выполнения отдельных видов │ │ │ │ │ │ │ │ │ │

│ │деятельности, связанных с обеспечением│ │ │ │ │ │ │ │ │ │

│ │ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.8 │Определены ли в организации перечень и│ обязательный │ │ │ │ │ │ │ 0,0407 │ │

│ │формы документов, являющихся │ │ │ │ │ │ │ │ │ │

│ │свидетельством выполнения деятельности│ │ │ │ │ │ │ │ │ │

│ │по обеспечению ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.9 │Определены ли в политике ИБ (частных │ обязательный │ │ │ │ │ │ │ 0,0510 │ │

│ │политиках ИБ) организации: │ │ │ │ │ │ │ │ │ │

│ │- цели и задачи обеспечения ИБ; │ │ │ │ │ │ │ │ │ │

│ │- основные области обеспечения ИБ; │ │ │ │ │ │ │ │ │ │

│ │- типы основных защищаемых │ │ │ │ │ │ │ │ │ │

│ │информационных активов; │ │ │ │ │ │ │ │ │ │

│ │- модели угроз и нарушителей; │ │ │ │ │ │ │ │ │ │

│ │- совокупность правил, требований и │ │ │ │ │ │ │ │ │ │

│ │руководящих принципов в области ИБ; │ │ │ │ │ │ │ │ │ │

│ │- основные требования к обеспечению │ │ │ │ │ │ │ │ │ │

│ │ИБ; │ │ │ │ │ │ │ │ │ │

│ │- принципы противодействия угрозам ИБ │ │ │ │ │ │ │ │ │ │

│ │по отношению к типам основных │ │ │ │ │ │ │ │ │ │

│ │защищаемых информационных активов; │ │ │ │ │ │ │ │ │ │

│ │- основные принципы повышения уровня │ │ │ │ │ │ │ │ │ │

│ │осознания и осведомленности в области │ │ │ │ │ │ │ │ │ │

│ │ИБ; │ │ │ │ │ │ │ │ │ │

│ │- принципы реализации и контроля │ │ │ │ │ │ │ │ │ │

│ │выполнения требований политики ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.10 │Корректируются ли в политике ИБ │ обязательный │ │ │ │ │ │ │ 0,0486 │ │

│ │(частных политиках ИБ) организации: │ │ │ │ │ │ │ │ │ │

│ │- цели и задачи обеспечения ИБ; │ │ │ │ │ │ │ │ │ │

│ │- основные области обеспечения ИБ; │ │ │ │ │ │ │ │ │ │

│ │- типы основных защищаемых │ │ │ │ │ │ │ │ │ │

│ │информационных активов; │ │ │ │ │ │ │ │ │ │

│ │- модели угроз и нарушителей; │ │ │ │ │ │ │ │ │ │

│ │- совокупность правил, требований и │ │ │ │ │ │ │ │ │ │

│ │руководящих принципов в области ИБ; │ │ │ │ │ │ │ │ │ │

│ │- основные требования к обеспечению │ │ │ │ │ │ │ │ │ │

│ │ИБ; │ │ │ │ │ │ │ │ │ │

│ │- принципы противодействия угрозам ИБ │ │ │ │ │ │ │ │ │ │

│ │по отношению к типам основных │ │ │ │ │ │ │ │ │ │

│ │защищаемых информационных активов; │ │ │ │ │ │ │ │ │ │

│ │- основные принципы повышения уровня │ │ │ │ │ │ │ │ │ │

│ │осознания и осведомленности в области │ │ │ │ │ │ │ │ │ │

│ │ИБ; │ │ │ │ │ │ │ │ │ │

│ │- принципы реализации и контроля │ │ │ │ │ │ │ │ │ │

│ │выполнения требований политики ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.11 │Разрабатываются ли внутренние │ обязательный │ │ │ │ │ │ │ 0,0519 │ │

│ │документы, регламентирующие │ │ │ │ │ │ │ │ │ │

│ │деятельность в области обеспечения ИБ │ │ │ │ │ │ │ │ │ │

│ │на основе: │ │ │ │ │ │ │ │ │ │

│ │- законодательства Российской │ │ │ │ │ │ │ │ │ │

│ │Федерации; │ │ │ │ │ │ │ │ │ │

│ │- комплекса БР ИББС, в частности, │ │ │ │ │ │ │ │ │ │

│ │требования 7-го и 8-го разделов │ │ │ │ │ │ │ │ │ │

│ │стандарта СТО БР ИББС-1.0; │ │ │ │ │ │ │ │ │ │

│ │- нормативных актов и предписаний │ │ │ │ │ │ │ │ │ │

│ │регулирующих и надзорных органов; │ │ │ │ │ │ │ │ │ │

│ │- договорных требований организации со│ │ │ │ │ │ │ │ │ │

│ │сторонними организациями; │ │ │ │ │ │ │ │ │ │

│ │- результатов оценки рисков, │ │ │ │ │ │ │ │ │ │

│ │выполненной с соответствующей уровню │ │ │ │ │ │ │ │ │ │

│ │разрабатываемого документа │ │ │ │ │ │ │ │ │ │

│ │детализацией рассматриваемых │ │ │ │ │ │ │ │ │ │

│ │информационных активов │ │ │ │ │ │ │ │ │ │

│ │(типов информационных активов)? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.12 │Корректируются ли внутренние │ обязательный │ │ │ │ │ │ │ 0,0510 │ │

│ │документы, регламентирующие │ │ │ │ │ │ │ │ │ │

│ │деятельность в области обеспечения ИБ │ │ │ │ │ │ │ │ │ │

│ │на основе: │ │ │ │ │ │ │ │ │ │

│ │- законодательства Российской │ │ │ │ │ │ │ │ │ │

│ │Федерации; │ │ │ │ │ │ │ │ │ │

│ │- комплекса БР ИББС, в частности, │ │ │ │ │ │ │ │ │ │

│ │требования 7-го и 8-го разделов │ │ │ │ │ │ │ │ │ │

│ │стандарта СТО БР ИББС-1.0; │ │ │ │ │ │ │ │ │ │

│ │- нормативных актов и предписаний │ │ │ │ │ │ │ │ │ │

│ │регулирующих и надзорных органов; │ │ │ │ │ │ │ │ │ │

│ │- договорных требований организации со│ │ │ │ │ │ │ │ │ │

│ │сторонними организациями; │ │ │ │ │ │ │ │ │ │

│ │- результатов оценки рисков, │ │ │ │ │ │ │ │ │ │

│ │выполненной с соответствующей уровню │ │ │ │ │ │ │ │ │ │

│ │разрабатываемого документа │ │ │ │ │ │ │ │ │ │

│ │детализацией рассматриваемых │ │ │ │ │ │ │ │ │ │

│ │информационных активов │ │ │ │ │ │ │ │ │ │

│ │(типов информационных активов)? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.13 │Содержит ли совокупность внутренних │ обязательный │ │ │ │ │ │ │ 0,0501 │ │

│ │документов, регламентирующих │ │ │ │ │ │ │ │ │ │

│ │деятельность в области обеспечения ИБ,│ │ │ │ │ │ │ │ │ │

│ │требования по обеспечению ИБ всех │ │ │ │ │ │ │ │ │ │

│ │выявленных информационных активов │ │ │ │ │ │ │ │ │ │

│ │(типов информационных активов), │ │ │ │ │ │ │ │ │ │

│ │находящихся в области действия СОИБ │ │ │ │ │ │ │ │ │ │

│ │организации? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.14 │Не противоречат ли документы, │ обязательный │ │ │ │ │ │ │ 0,0510 │ │

│ │регламентирующие процедуры выполнения │ │ │ │ │ │ │ │ │ │

│ │отдельных видов деятельности, │ │ │ │ │ │ │ │ │ │

│ │связанных с обеспечением ИБ, │ │ │ │ │ │ │ │ │ │

│ │положениям политики ИБ и частных │ │ │ │ │ │ │ │ │ │

│ │политик ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.15 │Детализируют ли документы, │ обязательный │ │ │ │ │ │ │ 0,0426 │ │

│ │регламентирующие процедуры выполнения │ │ │ │ │ │ │ │ │ │

│ │отдельных видов деятельности, │ │ │ │ │ │ │ │ │ │

│ │связанных с обеспечением ИБ, положения│ │ │ │ │ │ │ │ │ │

│ │политики ИБ и частных политик ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.16 │Утвержден ли руководством организации │ обязательный │ │ │ │ │ │ │ 0,0354 │ │

│ │порядок взаимодействия │ │ │ │ │ │ │ │ │ │

│ │(координирования работы) службы ИБ с │ │ │ │ │ │ │ │ │ │

│ │работниками, ответственными за │ │ │ │ │ │ │ │ │ │

│ │обеспечение ИБ в структурных │ │ │ │ │ │ │ │ │ │

│ │подразделениях организации (в случае │ │ │ │ │ │ │ │ │ │

│ │наличия в структурных подразделениях │ │ │ │ │ │ │ │ │ │

│ │организации работников, ответственных │ │ │ │ │ │ │ │ │ │

│ │за обеспечение ИБ)? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.17 │Определены ли в составе документов, │ обязательный │ │ │ │ │ │ │ 0,0426 │ │

│ │регламентирующих деятельность в │ │ │ │ │ │ │ │ │ │

│ │области обеспечения ИБ, перечень │ │ │ │ │ │ │ │ │ │

│ │свидетельств выполнения указанной │ │ │ │ │ │ │ │ │ │

│ │деятельности и ответственность │ │ │ │ │ │ │ │ │ │

│ │работников организации за выполнение │ │ │ │ │ │ │ │ │ │

│ │этой деятельности? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.18 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0443 │ │

│ │процедуры выделения и распределения │ │ │ │ │ │ │ │ │ │

│ │ролей в области обеспечения ИБ? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.19 │Определен ли в документах организации │ обязательный │ │ │ │ │ │ │ 0,0406 │ │

│ │порядок разработки, поддержки, │ │ │ │ │ │ │ │ │ │

│ │пересмотра и контроля исполнения │ │ │ │ │ │ │ │ │ │

│ │внутренних документов, │ │ │ │ │ │ │ │ │ │

│ │регламентирующих деятельность по │ │ │ │ │ │ │ │ │ │

│ │обеспечению ИБ организации? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.20 │Определены ли в документах организации│ обязательный │ │ │ │ │ │ │ 0,0382 │ │

│ │роли по разработке, поддержке, │ │ │ │ │ │ │ │ │ │

│ │пересмотру и контролю исполнения │ │ │ │ │ │ │ │ │ │

│ │внутренних документов, │ │ │ │ │ │ │ │ │ │

│ │регламентирующих деятельность по │ │ │ │ │ │ │ │ │ │

│ │обеспечению ИБ организации? │ │ │ │ │ │ │ │ │ │

├────────────┼──────────────────────────────────────┼───────────────┼──┼────┼────┼────┼───┼────┼───────────┼─────────────┤

│ M15.21 │Назначены ли ответственные за │ обязательный │ │ │ │ │ │ │ 0,0393 │ │

│ │выполнение ролей по разработке, │ │ │ │ │ │ │ │ │ │

│ │поддержке, пересмотру и контролю │ │ │ │ │ │ │ │ │ │

│ │исполнения внутренних документов, │ │ │ │ │ │ │ │ │ │

│ │регламентирующих деятельность по │ │ │ │ │ │ │ │ │ │

│ │обеспечению ИБ организации? │ │ │ │ │ │ │ │ │ │

├────────────┴──────────────────────────────────────┴───────────────┴──┴────┴────┴────┴───┴────┴───────────┼─────────────┤

│Итоговая оценка группового показателя M15 │ │

└──────────────────────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘