Документ утратил силу или отменен. Подробнее см. Справку
"Стандарт Банка России "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР...

Таблица 1. Рекомендуемые критерии выставления оценок частных показателей ИБ

┌────────────┬────────────────────────────────────────────────────────────────┐

│ Оценка │ Критерий выставления оценки частного показателя ИБ │

│ частного │ │

│ показателя │ │

│ ИБ │ │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 0 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, не установлены во внутренних нормативных │

│ │документах проверяемой организации БС РФ и не выполняются │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 0 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, частично установлены в нормативных документах │

│ │проверяемой организации БС РФ, но не выполняются │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 0,25 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, полностью установлены в нормативных документах │

│ │проверяемой организации БС РФ, но не выполняются │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 0,25 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, не установлены во внутренних нормативных │

│ │документах проверяемой организации БС РФ и выполняются в │

│ │неполном объеме │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 0,25 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, частично установлены во внутренних нормативных │

│ │документах проверяемой организации БС РФ и выполняются в │

│ │неполном объеме │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 0,5 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, полностью установлены во внутренних нормативных │

│ │документах проверяемой организации БС РФ и выполняются в │

│ │неполном объеме │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 0,5 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, не установлены во внутренних нормативных │

│ │документах проверяемой организации БС РФ, но выполняются в │

│ │полном объеме │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 0,75 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, частично установлены во внутренних нормативных │

│ │документах проверяемой организации БС РФ, но выполняются в │

│ │полном объеме │

├────────────┼────────────────────────────────────────────────────────────────┤

│ 1 │Требования, степень выполнения которых оценивается в частном │

│ │показателе ИБ, полностью установлены во внутренних нормативных │

│ │документах проверяемой организации БС РФ и выполняются в полном │

│ │объеме │

└────────────┴────────────────────────────────────────────────────────────────┘

6.4. Оценка частного показателя ИБ должна основываться на свидетельствах аудита, в качестве основных источников которых рекомендуется использовать:

- внутренние нормативные документы проверяемой организации и при необходимости документы третьих лиц, относящиеся к обеспечению ИБ организации БС РФ;

- устные высказывания сотрудников проверяемой организации в процессе проводимых опросов;

- результаты наблюдений членов аудиторской группы за деятельностью сотрудников проверяемой организации в области ИБ.

В процессе проведения устного опроса сотрудников проверяемой организации и наблюдений за деятельностью указанных сотрудников члены аудиторской группы должны сделать вывод о степени соответствия оцениваемой деятельности требованиям внутренних нормативных документов проверяемой организации БС РФ.

Полученные свидетельства аудита ИБ и источники их получения должны быть задокументированы путем составления листов для сбора свидетельств аудита ИБ, пример которых приведен в Приложении Б. При заполнении листов для сбора свидетельств аудита ИБ необходимо указать ссылки на соответствующие внутренние нормативные документы проверяемой организации, результаты опроса сотрудников проверяемой организации, а также результаты наблюдений членов аудиторской группы. Результаты опроса и наблюдений должны быть подтверждены подписью опрашиваемого сотрудника организации БС РФ или члена аудиторской группы соответственно.

6.5. Оценка группового показателя (EV ) вычисляется из оценок

Mi

входящих в него частных показателей (EV ) с учетом

Mi.j

коэффициентов значимости альфа , определяющих важность частного

i.j

показателя для оценивания группового показателя:

EV = SUMальфа x EV .

Mi j i.j Mi.j

При формировании коэффициентов значимости учитывалось

следующее условие нормировки:

k

SUMальфа = 1,

j=1 ij

где k - число частных показателей в i-ом групповом показателе.

Коэффициенты значимости альфа для каждого частного

i.j

показателя приведены в приложении А.

6. Показатели информационной безопасности. Способы оценивания показателей 7. Оценка текущего уровня информационной безопасности организации банковской системы Российской Федерации