Групповой показатель M2 "Обеспечение информационной безопасности автоматизированных банковских систем на стадиях жизненного цикла"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐

│Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │

│ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │

│показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│

│ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.1 │Всегда ли выдвижение │ │ │ │ │ │ │ 0,1087 │ │

│ │технических требований, │ │ │ │ │ │ │ │ │

│ │разработка технических │ │ │ │ │ │ │ │ │

│ │заданий, проектирование, │ │ │ │ │ │ │ │ │

│ │создание, тестирование и │ │ │ │ │ │ │ │ │

│ │приемка средств обеспечения ИБ│ │ │ │ │ │ │ │ │

│ │АБС осуществляются по │ │ │ │ │ │ │ │ │

│ │согласованию с подразделениями│ │ │ │ │ │ │ │ │

│ │(лицами) в организации, │ │ │ │ │ │ │ │ │

│ │ответственными за обеспечение │ │ │ │ │ │ │ │ │

│ │ИБ? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.2 │Всегда ли ввод в действие, │ │ │ │ │ │ │ 0,1087 │ │

│ │эксплуатация, снятие с │ │ │ │ │ │ │ │ │

│ │эксплуатации АБС │ │ │ │ │ │ │ │ │

│ │осуществляются при участии │ │ │ │ │ │ │ │ │

│ │подразделений (лиц) в │ │ │ │ │ │ │ │ │

│ │организации, ответственных за │ │ │ │ │ │ │ │ │

│ │обеспечение ИБ? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.3 │Применяются (применялись) ли │ │ │ │ │ │ │ 0,098 │ │

│ │на стадии разработки АБС │ │ │ │ │ │ │ │ │

│ │разработчиками меры для защиты│ │ │ │ │ │ │ │ │

│ │от угроз ИБ: │ │ │ │ │ │ │ │ │

│ │- принятия неверных проектных │ │ │ │ │ │ │ │ │

│ │решений; │ │ │ │ │ │ │ │ │

│ │- внесения дефектов на уровне │ │ │ │ │ │ │ │ │

│ │архитектурных решений; │ │ │ │ │ │ │ │ │

│ │- внесения недокументированных│ │ │ │ │ │ │ │ │

│ │возможностей в АБС; │ │ │ │ │ │ │ │ │

│ │- неадекватной (неполной, │ │ │ │ │ │ │ │ │

│ │противоречивой, некорректной и│ │ │ │ │ │ │ │ │

│ │пр.) реализации требований к │ │ │ │ │ │ │ │ │

│ │АБС; │ │ │ │ │ │ │ │ │

│ │- угрозы разработки │ │ │ │ │ │ │ │ │

│ │некачественной документации; │ │ │ │ │ │ │ │ │

│ │- сборки АБС │ │ │ │ │ │ │ │ │

│ │разработчиком/производителем с│ │ │ │ │ │ │ │ │

│ │нарушением требований; │ │ │ │ │ │ │ │ │

│ │- неверного конфигурирования │ │ │ │ │ │ │ │ │

│ │АБС; │ │ │ │ │ │ │ │ │

│ │- приемки АБС, не отвечающей │ │ │ │ │ │ │ │ │

│ │требованиям заказчика; │ │ │ │ │ │ │ │ │

│ │- внесения недокументированных│ │ │ │ │ │ │ │ │

│ │возможностей в АБС в процессе │ │ │ │ │ │ │ │ │

│ │проведения приемочных │ │ │ │ │ │ │ │ │

│ │испытаний посредством │ │ │ │ │ │ │ │ │

│ │недокументированных │ │ │ │ │ │ │ │ │

│ │возможностей функциональных │ │ │ │ │ │ │ │ │

│ │тестов и тестов ИБ? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.4 │Имеют ли соответствующие │ │ │ │ │ │ │ 0,086 │ │

│ │лицензии организации, которые │ │ │ │ │ │ │ │ │

│ │привлекаются на договорной │ │ │ │ │ │ │ │ │

│ │основе для разработки и/или │ │ │ │ │ │ │ │ │

│ │производства средств │ │ │ │ │ │ │ │ │

│ │обеспечения ИБ АБС? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.5 │Получает ли организация │ │ │ │ │ │ │ 0,1086 │ │

│ │документацию по всем │ │ │ │ │ │ │ │ │

│ │приобретаемым АБС и их │ │ │ │ │ │ │ │ │

│ │компонентам, содержащую │ │ │ │ │ │ │ │ │

│ │описание защитных мер, │ │ │ │ │ │ │ │ │

│ │предпринятых разработчиком │ │ │ │ │ │ │ │ │

│ │АБС, и их компонентов │ │ │ │ │ │ │ │ │

│ │относительно безопасности │ │ │ │ │ │ │ │ │

│ │разработки, безопасности │ │ │ │ │ │ │ │ │

│ │поставки и эксплуатации, │ │ │ │ │ │ │ │ │

│ │поддержки жизненного цикла, │ │ │ │ │ │ │ │ │

│ │и оценку уязвимостей? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.6 │Обеспечивают ли на стадии │ │ │ │ │ │ │ 0,098 │ │

│ │эксплуатации применяемые меры │ │ │ │ │ │ │ │ │

│ │и средства обеспечения ИБ │ │ │ │ │ │ │ │ │

│ │защиту от угроз │ │ │ │ │ │ │ │ │

│ │несанкционированного │ │ │ │ │ │ │ │ │

│ │раскрытия, модификации или │ │ │ │ │ │ │ │ │

│ │уничтожения информации, │ │ │ │ │ │ │ │ │

│ │недоставки или ошибочной │ │ │ │ │ │ │ │ │

│ │доставки информации, отказа в │ │ │ │ │ │ │ │ │

│ │обслуживании или ухудшения │ │ │ │ │ │ │ │ │

│ │обслуживания, отказа от │ │ │ │ │ │ │ │ │

│ │авторства сообщений? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.7 │Обеспечивается ли возможность │ │ │ │ │ │ │ 0,098 │ │

│ │сопровождения всех АБС │ │ │ │ │ │ │ │ │

│ │организации и их компонентов │ │ │ │ │ │ │ │ │

│ │(наличием договоров │ │ │ │ │ │ │ │ │

│ │сопровождения или полным │ │ │ │ │ │ │ │ │

│ │комплектом рабочей │ │ │ │ │ │ │ │ │

│ │конструкторской документации)?│ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.8 │Применяются ли на стадии │ │ │ │ │ │ │ 0,098 │ │

│ │сопровождения меры для защиты │ │ │ │ │ │ │ │ │

│ │от угрозы внесения изменений в│ │ │ │ │ │ │ │ │

│ │АБС, приводящих к нарушению │ │ │ │ │ │ │ │ │

│ │функциональности АБС либо к │ │ │ │ │ │ │ │ │

│ │появлению недокументированных │ │ │ │ │ │ │ │ │

│ │возможностей, а также для │ │ │ │ │ │ │ │ │

│ │защиты от угрозы невнесения │ │ │ │ │ │ │ │ │

│ │разработчиком/поставщиком │ │ │ │ │ │ │ │ │

│ │изменений, необходимых для │ │ │ │ │ │ │ │ │

│ │поддержки правильного │ │ │ │ │ │ │ │ │

│ │функционирования и состояния │ │ │ │ │ │ │ │ │

│ │АБС? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.9 │Применяются ли на стадии │ │ │ │ │ │ │ 0,098 │ │

│ │снятия с эксплуатации меры для│ │ │ │ │ │ │ │ │

│ │защиты от угроз ненадежного │ │ │ │ │ │ │ │ │

│ │удаления информации, │ │ │ │ │ │ │ │ │

│ │несанкционированное │ │ │ │ │ │ │ │ │

│ │использование которой может │ │ │ │ │ │ │ │ │

│ │нанести ущерб бизнес- │ │ │ │ │ │ │ │ │

│ │деятельности организации, и │ │ │ │ │ │ │ │ │

│ │информации, используемой │ │ │ │ │ │ │ │ │

│ │средствами обеспечения ИБ, из │ │ │ │ │ │ │ │ │

│ │постоянной памяти АБС или с │ │ │ │ │ │ │ │ │

│ │внешних носителей? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M2.10 │Включаются ли требования ИБ во│ │ │ │ │ │ │ 0,098 │ │

│ │все договоры и контракты на │ │ │ │ │ │ │ │ │

│ │проведение работ или оказание │ │ │ │ │ │ │ │ │

│ │услуг на всех стадиях │ │ │ │ │ │ │ │ │

│ │жизненного цикла АБС? │ │ │ │ │ │ │ │ │

├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┼───────────────┼─────────────┤

│ Итоговая оценка группового показателя M2 │ │ │

└──────────────────────────────────────────────────────────────────────────┴───────────────┴─────────────┘