Аудит на соответствие требованиям СТО БР ИББС

Банковский бизнес основан в первую очередь на доверии клиентов и опирается на работу с большим объёмом конфиденциальных данных. Нарушения информационной безопасности (ИБ) кредитно-финансовой организации могут привести к негативным экономическим, имиджевым и юридическим последствиям. Поэтому информационная безопасность в кредитно-финансовой сфере имеет первостепенное значение. Отвечая современным вызовам и угрозам, деятельность АО «ЭЛВИС-ПЛЮС» базируется на проверенном годами комплексе услуг: как на использовании уже зарекомендовавших себя подходов и технологий защиты, так и на новейших решениях в области обеспечения безопасности информации. Вместе с большим практическим опытом и командой высококвалифицированных специалистов это позволяет эффективно ограждать бизнес банков и других финансово-кредитных организаций от угроз информационной безопасности.

Осознание необходимости общего подхода к обеспечению и оценке уровня информационной безопасности, учитывающего специфику систем и процессов банковской сферы Российской Федерации, развитие новых угроз и растущее количество инцидентов — всё это привело к созданию отечественного отраслевого стандарта СТО БР ИББС «Обеспечение информационной безопасности организаций банковской системы Российской Федерации». Стандарт ориентирован именно на банковские реалии и учитывает передовой опыт международных стандартов и подходов в области информационной безопасности. Хотя требования стандарта Банка России носят рекомендательный характер, уже сейчас положения СТО БР ИББС-1.0 де-факто используются в отечественной кредитно-финансовой сфере в качестве отраслевого стандарта в области ИБ.

Эксперты рынка отмечают, что СТО БР ИББС — стандарт очень современный и зрелый. И внедрение этого Стандарта — это не выполнение исключительно формальных требований с целью прохождения всех проверок, а реальное повышение уровня информационной безопасности кредитно-финансовой организации.

Деятельность по внедрению и по проверке качества такого внедрения (аудита на соответствие требованиям стандарта) проводится в рамках сообщества ABISS (Association for Banking Information Security Standards), которое было создано с целью развития и продвижения Стандарта Банка России. Компания ЭЛВИС-ПЛЮС является членом ABISS, поэтому в проектную команду, работающую с каждым из Заказчиков, входят сертифицированные ABISS аудиторы и специалисты.

Приведение информационной инфраструктуры банка в соответствие с СТО БР ИББС даёт банкам неоспоримые преимущества. СОБИ Банка выполняет сразу несколько требований:

Во-первых, это сам Стандарт Банка России по информационной безопасности. Во-вторых, требования законодательства по защите персональных данных. В-третьих, выполняются требования регулятора Национальной платёжной системы (а по Закону «О НПС» — это Центробанк). Немаловажным является тот факт, что требования ЦБ к информационной безопасности участников НПС будут обязательными, а не добровольными, как в случае с СТО БР ИБСС. И в-четвёртых, внедрение Стандарта — огромный задел по выполнению требований PCI DSS. На последних конференциях «Информационная безопасность банков» в г. Магнитогорске, представители Центрального Банка, подтверждали, что некоторые нормы PCI DSS станут частью СТО БР ИББС.

Следование требованиям Стандарта — это удобно!

Внедрение Стандарта Банка России обусловлено прежде всего требованиями бизнеса:

• Минимизация рисков ИБ.
• Возврат инвестиций в ИБ.
• Необходимость управления рисками ИБ.
• Снижение издержек на ИБ за счёт построения единой системы управления.
• Повышение эффективности работы Службы ИБ.

В результате аудита информационной безопасности на соответствие требованиям стандарта Банка России СТО БР ИББС кредитно-финансовые организации получают возможность:

• Демонстрировать соответствие Системы обеспечения информационной безопасности требованиям Стандарта и уровень информационной безопасности в организации.
• Принимать меры к устранению несоответствий и нарушений требований Стандарта в рамках своей инфраструктуры и контролировать их исполнение.
• Принимать обоснованные и экономически оправданные решения по корректировке или изменению средств и механизмов защиты информации и бизнеса.
• Обладать всей необходимой информацией о структуре и функционировании системы обеспечения безопасности информации.
• Поддерживать систему обеспечения безопасности информации в состоянии, не только адекватном существующим бизнес-целям и потребностям организации, но и ориентированном на возможное расширение бизнеса организации.
• Должным образом организовывать и интегрировать в существующие бизнес-процессы систему менеджмента информационной безопасности организации.
• Принимать действенные меры к повышению уровня доверия к своей организации и бизнесу.

Внедрение СТО БР ИББС необходимо самой кредитно-финансовой организации и её клиентам!

Услуга по приведению в соответствие СТО БР ИББС состоит из трёх основных этапов

На первом этапе проводится оценка соответствия существующей СОБИ требованиям Стандарта. Такая оценка может проводится в очной или заочной форме, а также в форме помощи в самооценке. На втором этапе компания ЭЛВИС-ПЛЮС проводит проектирование, модернизацию и поставку элементов СОБИ. На этом же этапе разрабатываются проекты организационно-распорядительной документации. Наши специалисты рассматривают и при необходимости дорабатывают уже существующие документы по процессам ИТ и ИБ в организации, что значительно снижает издержки Заказчика на этом этапе работ. И на последнем этапе происходит итоговая оценка системы обеспечения информационной безопасности кредитно-финансовой организации с декларированием уровня защищённости согласно методике ЦБ РФ.

Дополнительные услуги для банков

• Защита от DDoS
• Предотвращение мошенничества в системе дистанционного банковского обслуживания (ДБО).
• Расследование и реагирование на инциденты ИБ.
• Аудит на соответствие ISO/IEC 27001.
• Аудит инфраструктуры банка и тест на проникновение.
• Разработка и внедрение ролевой модели доступа к информационным ресурсам.
• Проектирование и создание центра мониторинга информационной безопасности.
• Построение системы защиты от утечек конфиденциальной информации.
• Разработка и внедрение политики управления рисками ИБ.
• Разработка и внедрение системы обеспечения непрерывности бизнес-процессов.
• Построение системы безопасной работы в Интернете.