Групповой показатель M9 "Определение/уточнение области действия СМИБ и выбор подхода к оценке рисков ИБ"

┌───────────┬──────────────────────────────┬───────────────────────────────┬───────────────┬─────────────┐

│Обозначение│ Частный показатель ИБ │ Оценка частного показателя ИБ │ Коэффициент │ Вычисленное │

│ частного │ ├───┬─────┬─────┬─────┬────┬────┤ значимости │ значение │

│показателя │ │ 0 │0,25 │ 0,5 │0,75 │ 1 │н/о │ частного │показателя ИБ│

│ ИБ │ │ │ │ │ │ │ │ показателя ИБ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M9.1 │Существуют ли документы, в │ │ │ │ │ │ │ 0,1321 │ │

│ │которых определена область │ │ │ │ │ │ │ │ │

│ │действия СМИБ? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M9.2 │Обосновано ли в документах, │ │ │ │ │ │ │ 0,1471 │ │

│ │определяющих область действия │ │ │ │ │ │ │ │ │

│ │СМИБ, ограничение области │ │ │ │ │ │ │ │ │

│ │действия, если таковое │ │ │ │ │ │ │ │ │

│ │имеется? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M9.3 │Учитывается ли в документах, │ │ │ │ │ │ │ 0,1471 │ │

│ │определяющих область действия │ │ │ │ │ │ │ │ │

│ │СМИБ, значимость │ │ │ │ │ │ │ │ │

│ │информационных активов │ │ │ │ │ │ │ │ │

│ │организации? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M9.4 │Пересматривается ли область │ │ │ │ │ │ │ 0,1321 │ │

│ │действия СМИБ при изменении │ │ │ │ │ │ │ │ │

│ │перечня информационных активов│ │ │ │ │ │ │ │ │

│ │или их значимости для целей │ │ │ │ │ │ │ │ │

│ │бизнеса организации? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M9.5 │Учитывается ли в документах │ │ │ │ │ │ │ 0,1471 │ │

│ │организации, определяющих │ │ │ │ │ │ │ │ │

│ │область действия СМИБ, │ │ │ │ │ │ │ │ │

│ │обязательность непрерывности │ │ │ │ │ │ │ │ │

│ │бизнеса организации? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M9.6 │Установлен ли в документах │ │ │ │ │ │ │ 0,1471 │ │

│ │организации, определяющих │ │ │ │ │ │ │ │ │

│ │область действия СМИБ, подход │ │ │ │ │ │ │ │ │

│ │к оценке рисков ИБ, │ │ │ │ │ │ │ │ │

│ │включающий: │ │ │ │ │ │ │ │ │

│ │- оценку последствий │ │ │ │ │ │ │ │ │

│ │неисполнения требований СТО БР│ │ │ │ │ │ │ │ │

│ │ИББС-1.0 и нормативных актов │ │ │ │ │ │ │ │ │

│ │Банка России по обеспечению │ │ │ │ │ │ │ │ │

│ │ИБ; │ │ │ │ │ │ │ │ │

│ │- оценку угроз нарушения │ │ │ │ │ │ │ │ │

│ │процессов управления ИБ или │ │ │ │ │ │ │ │ │

│ │вследствие реализации иных │ │ │ │ │ │ │ │ │

│ │угроз? │ │ │ │ │ │ │ │ │

├───────────┼──────────────────────────────┼───┼─────┼─────┼─────┼────┼────┼───────────────┼─────────────┤

│ M9.7 │Реализуются ли в организации │ │ │ │ │ │ │ 0,1474 │ │

│ │основные процессы СМИБ, │ │ │ │ │ │ │ │ │

│ │связанные с планированием │ │ │ │ │ │ │ │ │

│ │процессов выполнения │ │ │ │ │ │ │ │ │

│ │требований ИБ, с реализацией и│ │ │ │ │ │ │ │ │

│ │эксплуатацией защитных мер, с │ │ │ │ │ │ │ │ │

│ │проверкой процессов выполнения│ │ │ │ │ │ │ │ │

│ │требований ИБ и с │ │ │ │ │ │ │ │ │

│ │совершенствованием процессов │ │ │ │ │ │ │ │ │

│ │выполнения требований ИБ? │ │ │ │ │ │ │ │ │

├───────────┴──────────────────────────────┴───┴─────┴─────┴─────┴────┴────┴───────────────┼─────────────┤

│ Итоговая оценка группового показателя M9 │ │

└──────────────────────────────────────────────────────────────────────────────────────────┴─────────────┘