ПОСТАНОВЛЕНИЕ ПРАВЛЕНИЯ НАЦИОНАЛЬНОГО БАНКА РЕСПУБЛИКИ БЕЛАРУСЬ

22 мая 2026 г. № 120

Об утверждении стандарта финансовых услуг и технологий

На основании абзаца пятьдесят седьмого статьи 26 и части первой статьи 39 Банковского кодекса Республики Беларусь Правление Национального банка Республики Беларусь ПОСТАНОВЛЯЕТ:

1. Утвердить стандарт финансовых услуг и технологий СФУТ 9.04-2026 «Банковская деятельность. Обеспечение информационной безопасности. Условия для реализации СФУТ 9.03-2025» (прилагается).

2. Настоящее постановление вступает в силу с 1 января 2027 г.

СТАНДАРТ ФИНАНСОВЫХ УСЛУГ И ТЕХНОЛОГИЙ
СФУТ 9.04-2026 «Банковская деятельность. Обеспечение информационной безопасности. Условия для реализации СФУТ 9.03-2025»

ГЛАВА 1
ОБЩИЕ ПОЛОЖЕНИЯ

1. Настоящий стандарт финансовых услуг и технологий (далее – стандарт) распространяется на банки, небанковские кредитно-финансовые организации и открытое акционерное общество «Банк развития Республики Беларусь» (далее – банки) и устанавливает требования по определению потребности банков в ресурсах информационной безопасности (далее – ИБ) и контролю эффективности их использования.

2. Настоящий стандарт предназначен для применения путем включения ссылок на него и (или) устанавливаемых в нем требований в локальные правовые акты банков, а также договоры.

3. При применении настоящего стандарта необходимо соблюдать требования законодательства об информации, информатизации и защите информации, в том числе нормативных правовых актов Национального банка и обязательных для соблюдения технических нормативных правовых актов.

4. Банки могут дополнять требования к ресурсному обеспечению ИБ, не противоречащие законодательству об информации, информатизации и защите информации, с учетом специфики деятельности и наработанных практик.

5. В настоящем стандарте используются термины в значениях, установленных в стандартах финансовых услуг и технологий СФУТ 9.01-2024 «Банковская деятельность. Обеспечение информационной безопасности. Общие положения и терминология» и СФУТ 9.02-2024 «Банковская деятельность. Обеспечение информационной безопасности. Требования к документации по обеспечению деятельности в области информационной безопасности», утвержденных постановлением Правления Национального банка Республики Беларусь от 20 июня 2024 г. № 185, иных нормативных правовых актах Национального банка, а также следующие термины и их определения:

ресурсы ИБ – совокупность средств, методов, организационных и правовых мер, направленных на защиту информации от различных угроз и обеспечение ее конфиденциальности, целостности и доступности;

ресурсное обеспечение ИБ – процесс управления, обеспечивающий определение потребности в ресурсах ИБ при планировании, реализации, выполнении, проверке и совершенствовании процессов системы обеспечения ИБ (далее – СОИБ), а также контроль эффективности использования ресурсов ИБ;

степень возможности реализации угроз (угрозы) ИБ (далее – СВР угроз (угрозы) ИБ) – оценка воздействия выявленных и (или) предполагаемых источников угроз (угрозы) ИБ на объекты информационных активов;

уровень зрелости выполнения процесса СОИБ – мера оценки полноты, управляемости, адекватности и эффективности выполнения процесса СОИБ.

ГЛАВА 2
ТРЕБОВАНИЯ ПО ОПРЕДЕЛЕНИЮ ПОТРЕБНОСТИ БАНКОВ В РЕСУРСАХ ИБ

6. Основными целями реализации ресурсного обеспечения ИБ являются:

обеспечение конфиденциальности, целостности, подлинности, доступности и сохранности информации;

предотвращение несанкционированного доступа к информации;

обеспечение надежной и бесперебойной работы информационных систем и ресурсов банка;

снижение рисков ИБ;

соблюдение требований законодательства об информации, информатизации и защите информации.

7. Цели, указанные в пункте 6 настоящего стандарта, достигаются путем:

вложения финансовых средств в обеспечение процессов СОИБ;

обеспечения подразделения ИБ банка кадровыми ресурсами, необходимыми и достаточными для реализации процессов СОИБ;

контроля эффективности использования ресурсов ИБ.

8. Потребность в обеспечении процессов СОИБ ресурсами ИБ определяется на основе предполагаемой величины возможного ущерба (финансовых потерь) банка в случае реализации рисков ИБ.

9. Банк обеспечивает надлежащий баланс между рисками ИБ и ресурсами ИБ, используемыми для обеспечения целевого уровня ИБ и направленными на снижение указанных рисков.

10. Для определения потребности банка в обеспечении процессов СОИБ ресурсами ИБ используются как качественные, так и количественные методики оценки рисков ИБ.

11. Для определения влияния рисков ИБ на основную деятельность банка через предполагаемую величину возможного ущерба (финансовых потерь) банка в случае реализации рисков ИБ используются количественные методики.

12. Снижение рисков ИБ обеспечивается минимизацией уязвимостей в выполнении процессов СОИБ, направленных на непосредственное обеспечение ИБ, путем повышения уровней зрелости выполнения процессов СОИБ.

Повышение уровней зрелости выполнения процессов СОИБ достигается планированием, реализацией, исполнением, анализом и совершенствованием процессов СОИБ: выполнением каждого требования к системе ИБ (далее – СИБ) в рамках системы менеджмента ИБ (далее – СМИБ).

Невыполнение процессов СМИБ создает уязвимости при выполнении процессов СОИБ, что увеличивает риски для основной деятельности банка.

13. Ресурсы ИБ являются одним из основных факторов, определяющих полноту и качество выполнения процессов СМИБ, которые определяют уровни зрелости выполнения процессов СОИБ.

14. Для реализации ресурсного обеспечения ИБ банка:

применяются методология оценивания уровней зрелости выполнения процессов СОИБ, требования к которой установлены в главе 3 настоящего стандарта, и методология оценивания рисков ИБ с учетом данных о реализованных уровнях зрелости выполнения процессов СОИБ, требования к которой установлены в главе 4 настоящего стандарта;

обеспечивается целевой уровень обеспечения ИБ путем повышения уровней зрелости выполнения процессов СОИБ до значения, реализующего снижение рисков ИБ до допустимого уровня. Повышение уровней зрелости выполнения процессов СОИБ достигается путем:

вложения необходимых финансовых средств в обеспечение процессов СОИБ. При этом вложение не предполагает получение дохода от выполнения процессов СОИБ, а направлено на снижение предполагаемой величины возможного ущерба (финансовых потерь) банка в случае реализации рисков ИБ. Требования к методологии расчета величины финансовых средств, необходимых для обеспечения процессов СОИБ банка, установлены в главе 5 настоящего стандарта;

обеспечения необходимыми и достаточными кадровыми ресурсами. Требования к определению потребности подразделения ИБ банка в обеспечении кадровыми ресурсами установлены в главе 6 настоящего стандарта;

проводится контроль эффективности вложений в обеспечение процессов СОИБ путем определения и мониторинга целевых (контрольных) показателей, выраженных в количественной (денежной) форме. Требования к проведению контроля эффективности использования ресурсов ИБ установлены в главе 7 настоящего стандарта.

ГЛАВА 3
ТРЕБОВАНИЯ К МЕТОДОЛОГИИ ОЦЕНИВАНИЯ УРОВНЕЙ ЗРЕЛОСТИ ВЫПОЛНЕНИЯ ПРОЦЕССОВ СОИБ БАНКА

15. С целью установления и применения методологии оценивания уровней зрелости выполнения процессов СОИБ банка:

определяется состав процессов СОИБ, направленных на обеспечение ИБ, уровни зрелости выполнения процессов СОИБ, которые оказывают существенное влияние на величину остаточных рисков ИБ банка;

устанавливаются показатели уровней зрелости выполнения процессов СОИБ банка.

16. Банк в обязательном порядке устанавливает в качестве процессов СОИБ (требования к СИБ и СМИБ), направленных на обеспечение ИБ, уровни зрелости выполнения процессов СОИБ, которые влияют на величину остаточных рисков ИБ, следующие:

16.1. требования к СИБ, реализуемые в соответствии с положениями, установленными пунктом 11 стандарта финансовых услуг и технологий СФУТ 9.03-2025 «Банковская деятельность. Обеспечение информационной безопасности. Общие требования», утвержденного постановлением Правления Национального банка Республики Беларусь от 29 декабря 2025 г. № 390 (далее – СФУТ 9.03-2025):

обеспечение антивирусной защиты;

обеспечение безопасности автоматизированных рабочих мест;

обеспечение безопасности при работе с глобальной компьютерной сетью Интернет;

обеспечение безопасности серверного оборудования;

обеспечение безопасности среды виртуализации;

обеспечение криптографической защиты информации с применением средств криптографической защиты информации (далее – СКЗИ);

обеспечение физической безопасности;

предотвращение утечек конфиденциальной информации;

управление доступом;

управление событиями и инцидентами ИБ;

управление уязвимостями;

16.2. требования к СМИБ, реализуемые в соответствии с положениями, установленными пунктом 208 СФУТ 9.03-2025:

обнаружение и реагирование на инциденты ИБ;

обеспечение непрерывности ИБ и ее восстановления после сбоев;

мониторинг и оценка защищенности СМИБ.

17. Банк при определении показателей уровня зрелости выполнения процессов СОИБ:

определяет состав требований к СМИБ, полнота и качество выполнения которых влияет на уровень зрелости выполнения процессов СОИБ;

применяет общую модель полноты и качества выполнения требований к СМИБ;

оценивает с использованием общей модели полноту и качество выполнения каждого из требований к СМИБ для каждого процесса СОИБ;

применяет общие правила определения показателей уровня зрелости выполнения процессов СОИБ на основе соответствующих оценок полноты и качества выполнения требований к СМИБ.

18. В качестве требований к СМИБ, полнота и качество выполнения которых влияют на уровень зрелости выполнения процессов СОИБ, рассматриваются реализуемые в соответствии с положениями, установленными в пункте 208 СФУТ 9.03-2025, требования к:

определению области действия СМИБ;

разработке документов, регламентирующих деятельность в области обеспечения ИБ;

разработке и реализации программ по обучению и повышению осведомленности работников банка в области ИБ;

проведению внутреннего аудита ИБ;

анализу функционирования СМИБ;

принятию решений по улучшению СМИБ.

19. Общая модель полноты и качества выполнения требований к СМИБ оценивается с применением следующих уровней:

0-й уровень – требование к СМИБ не выполняется (z = 0, где z – уровень зрелости требования к СМИБ);

1-й уровень – требование к СМИБ выполняется бессистемно и (или) эпизодически (z = 1);

2-й уровень – требование к СМИБ выполняется на постоянной основе, но общие подходы (способы) выполнения требования к СМИБ в банке не установлены. Выполнение требования к СМИБ осуществляется на усмотрение исполнителя (z = 2);

3-й уровень – требование к СМИБ выполняется на постоянной основе в соответствии с общими подходами (способами), установленными в банке (z = 3);

4-й уровень – требование к СМИБ выполняется на постоянной основе в соответствии с общими подходами (способами), установленными в банке. В банке реализованы контроль, анализ и своевременное совершенствование требования к СМИБ (z = 4);

5-й уровень – требование к СМИБ выполняется на постоянной основе в соответствии с общими подходами (способами), установленными в банке. В банке реализованы анализ и совершенствование требования к СМИБ, основанного на лучших отечественных и международных практиках (z = 5).

20. Определение показателя уровня зрелости выполнения отдельного процесса СОИБ на основе соответствующих оценок полноты и качества выполнения требований к СМИБ осуществляется следующим образом:

20.1. для каждого требования к СМИБ процесса СОИБ необходимо определить весовой коэффициент k_i (где i – номер требования к СМИБ), характеризующий степень влияния уровня полноты и качества выполнения данного требования к СМИБ на уровень зрелости выполнения процесса СОИБ (Z). Величина коэффициента k_i определяется в диапазоне от 0 до 1, при этом сумма всех коэффициентов k_i требований к СМИБ процесса СОИБ должна быть равна 1;

20.2. с использованием общей модели полноты и качества выполнения процессов СМИБ оцениваются полнота и качество выполнения каждого из требований к СМИБ (z_i) процесса СОИБ;

20.3. уровень зрелости выполнения процесса СОИБ (Z) определяется как сумма произведений весового коэффициента k_i на уровень зрелости соответствующего требования к СМИБ z_i, округленная до целого числа:

ГЛАВА 4
ТРЕБОВАНИЯ К МЕТОДОЛОГИИ ОЦЕНИВАНИЯ РИСКОВ ИБ С УЧЕТОМ ДАННЫХ О РЕАЛИЗОВАННЫХ УРОВНЯХ ЗРЕЛОСТИ ВЫПОЛНЕНИЯ ПРОЦЕССОВ СОИБ

21. Для применения методологии оценивания рисков ИБ с учетом данных о реализованных в банке уровнях зрелости выполнения процессов СОИБ банку необходимо:

установить способы учета влияния реализованных в банке уровнях зрелости выполнения процессов СОИБ при проведении оценки рисков ИБ;

оценивать риски ИБ с учетом данных о реализованных в банке уровнях зрелости выполнения процессов СОИБ.

22. Банку при установлении способов учета влияния реализованных уровней зрелости выполнения процессов СОИБ при проведении оценки рисков ИБ необходимо учитывать уровни зрелости выполнения процессов СОИБ в обратной зависимости к СВР угроз ИБ, оцениваемой в соответствии с методологией оценки рисков ИБ, используемой банком.

23. При расчете влияния реализованных уровней зрелости выполнения процессов СОИБ на риски ИБ необходимо:

оценить актуальность угроз нарушения ИБ, установленных в модели угроз банка;

оценить СВР угроз ИБ на основе оценки уровней зрелости выполнения процессов СОИБ, реализуемых для защиты от конкретных угроз ИБ.

24. Для оценки актуальности угроз нарушения ИБ необходимо использовать следующую качественную шкалу:

минимальная;

низкая;

средняя;

высокая;

критическая.

25. Оценку СВР угроз ИБ с учетом данных о реализованных в банке уровнях зрелости выполнения процессов СОИБ необходимо проводить с использованием методик количественных оценок следующим образом:

ГЛАВА 5
ТРЕБОВАНИЯ К МЕТОДОЛОГИИ РАСЧЕТА ВЕЛИЧИНЫ ФИНАНСОВЫХ СРЕДСТВ, НЕОБХОДИМЫХ ДЛЯ ОБЕСПЕЧЕНИЯ ПРОЦЕССОВ СОИБ БАНКА

26. С целью установления и применения методологии оценивания потребности банка в финансовых средствах для обеспечения процессов СОИБ необходимо:

установить состав процессов СОИБ, направленных на непосредственное обеспечение ИБ банка и требующих обеспечения финансовыми средствами;

установить и применять общую модель расчета величины финансовых средств, необходимых для обеспечения процессов СОИБ.

27. Банкам при установлении процессов СОИБ, направленных на обеспечение ИБ и требующих обеспечения финансовыми средствами, необходимо в обязательном порядке учитывать процессы СОИБ, указанные в пункте 16 настоящего стандарта.

28. Для расчета величины финансовых средств, необходимых для обеспечения процессов СОИБ, необходимо установить и применять общие модели:

расчета допустимого остаточного риска ИБ процесса СОИБ;

расчета остаточного риска ИБ процесса СОИБ.

29. Расчет допустимого остаточного риска ИБ процесса СОИБ осуществляется следующим образом:

29.1. устанавливается целевое значение СВР угрозы ИБ (R_пр) в диапазоне от 0 до 1 (где 0 – минимальная СВР угрозы ИБ, 1 – максимальная СВР угрозы ИБ). Данное значение определяется руководством банка с учетом:

требований законодательства об информации, информатизации и защите информации;

бизнес-целей и бизнес-приоритетов банка;

финансовых возможностей банка;

кадровых и технических ресурсов банка;

29.2. определяется степень тяжести последствий (далее – СТП) нарушения ИБ в соответствии с методикой оценки рисков ИБ, используемой банком, выраженная в количественной (денежной) форме, величина которой равна P;

29.3. величина допустимого остаточного риска ИБ процесса СОИБ (D) определяется как произведение СТП нарушения ИБ и целевого значения СВР угрозы ИБ:

D = P x R_пр.

30. Расчет текущего остаточного риска ИБ процесса СОИБ осуществляется следующим образом:

30.1. проводится оценка СВР угрозы ИБ (R_рл) с учетом данных о реализованном в банке уровне зрелости выполнения процесса СОИБ в соответствии с требованиями, изложенными в главах 3 и 4 настоящего стандарта;

30.2. определяется величина текущего остаточного риска ИБ процесса СОИБ (A) как произведение СТП нарушения ИБ и значения СВР угрозы ИБ с учетом данных о реализованном в банке уровне зрелости выполнения процесса СОИБ:

A = P x R_рл.

31. В случае, если величина текущего остаточного риска ИБ больше величины допустимого остаточного риска ИБ (A > D), финансовые средства, затрачиваемые банком на повышение уровня ИБ процесса СОИБ, не должны превышать величину F, определяемую как:

F = P x (R_рл – R_пр).

32. Потребность банка в финансовых средствах для обеспечения процессов СОИБ определяется как сумма величин финансовых средств, необходимых для повышения уровня ИБ всех процессов СОИБ для всех угроз ИБ, направленных на непосредственное обеспечение ИБ банка.

ГЛАВА 6
ТРЕБОВАНИЯ К ОПРЕДЕЛЕНИЮ ПОТРЕБНОСТИ ПОДРАЗДЕЛЕНИЯ ИБ БАНКА В ОБЕСПЕЧЕНИИ КАДРОВЫМИ РЕСУРСАМИ

33. Определение потребности подразделения ИБ банка в кадровых ресурсах осуществляется на основе:

анализа задач и функций, возложенных на подразделение ИБ банка;

уровня автоматизации процессов СОИБ и централизации управления средствами автоматизации;

уровня информатизации банка;

прогноза возможного расширения состава задач и функций подразделения ИБ банка в соответствии с планами совершенствования процессов СОИБ вследствие развития текущих и внедрения новых бизнес-процессов банка, совершенствования процессов информатизации банка, расширения структуры банка.

34. Банк обеспечивает подразделение ИБ банка кадровыми ресурсами в количестве, необходимом и достаточном для реализации и поддержания целевого уровня полноты и качества функционирования СОИБ.

35. Основными задачами и функциями подразделения ИБ банка является реализация деятельности в рамках процессов СОИБ по следующим направлениям:

методологическое обеспечение;

внедрение и сопровождение;

контроль и аудит;

криптографическая защита.

36. Банк устанавливает задачи и функции подразделения ИБ банка для каждого процесса СОИБ и оценивает трудозатраты на их выполнение.

Все задачи и функции, выполняемые в рамках процессов СОИБ, делятся на связанные с:

установлением общих подходов (способов) выполнения процессов СОИБ;

непосредственным выполнением процессов СОИБ;

анализом и контролем (аудитом) выполнения процессов СОИБ.

37. Задачи и функции, связанные с установлением общих подходов (способов) выполнения и анализа выполнения процессов СОИБ, возлагаются на работников подразделения ИБ банка, задействованных по направлению «методологическое обеспечение».

38. Задачи и функции, связанные с контролем (аудитом) выполнения процессов СОИБ, возлагаются на работников подразделения ИБ банка, задействованных по направлению «контроль и аудит», или работников иных структурных подразделений банка, выполняющих функции внутреннего контроля.

39. Непосредственное выполнение процессов СОИБ распределяется следующим образом:

39.1. на работников подразделения ИБ банка, задействованных по направлению «методологическое обеспечение», возлагаются:

определение области действия СМИБ;

разработка внутренних документов, регламентирующих деятельность в области обеспечения ИБ;

анализ функционирования СМИБ;

разработка и реализация программ по обучению и повышению осведомленности работников банка в области ИБ;

принятие решений по улучшению СМИБ;

39.2. на работников подразделения ИБ банка, задействованных по направлению «внедрение и сопровождение», возлагаются:

обеспечение антивирусной защиты;

обеспечение безопасности автоматизированных рабочих мест;

обеспечение безопасности при работе с глобальной компьютерной сетью Интернет;

обеспечение безопасности серверного оборудования;

обеспечение безопасности среды виртуализации;

обеспечение ИБ автоматизированной банковской системы на стадиях ее жизненного цикла;

обучение и повышение осведомленности по вопросам ИБ;

предотвращение утечек конфиденциальной информации;

управление доступом;

управление событиями и инцидентами ИБ;

управление уязвимостями;

выбор подхода к оценке рисков ИБ и проведение оценки рисков ИБ;

разработка и реализация процесса обработки рисков ИБ;

реализация программ по обучению и повышению осведомленности работников банка в области ИБ;

организация обнаружения и реагирования на инциденты ИБ;

организация обеспечения непрерывности ИБ и ее восстановления после сбоев;

мониторинг и оценка защищенности СМИБ;

39.3. на работников подразделения ИБ банка, задействованных по направлению «контроль и аудит», возлагаются:

реализация контроля области действия процесса СМИБ;

реализация контроля функционирования СМИБ;

проведение внутреннего аудита ИБ;

39.4. на работников подразделения ИБ банка, задействованных по направлению «криптографическая защита», возлагается обеспечение криптографической защиты информации с применением СКЗИ.

40. Потребность в кадровых ресурсах по направлению «криптографическая защита» определяется в соответствии с требованиями законодательства об информации, информатизации и защите информации, а также в соответствии с эксплуатационной документацией на используемые СКЗИ.

41. При определении банками минимально необходимой и достаточной численности работников подразделения ИБ банка учитываются следующие показатели и обстоятельства:

трудозатраты на выполнение задач и функций по обеспечению ИБ;

количество процессов СОИБ;

уровень зрелости банка в области ИБ;

количество и сложность используемых технологий и автоматизированных банковских систем;

сложность и масштабность инфраструктуры банка;

текущие и прогнозируемые риски ИБ;

количество работников банка;

требования законодательства об информации, информатизации и защите информации и локальных правовых актов банка.

В случае наличия у банка филиалов численность работников подразделения ИБ банка определяется с учетом работников, которые будут территориально размещаться в филиалах банка.

42. Работники подразделения ИБ банка должны обладать компетенцией, необходимой для выполнения их должностных обязанностей. Определение компетенции сводится к установлению требований в отношении необходимых знаний, практических навыков и опыта работы в сфере обеспечения ИБ. Данные требования банки устанавливают самостоятельно с учетом требований законодательства об информации, информатизации и защите информации.

ГЛАВА 7
ТРЕБОВАНИЯ К ПРОВЕДЕНИЮ КОНТРОЛЯ ЭФФЕКТИВНОСТИ ИСПОЛЬЗОВАНИЯ РЕСУРСОВ ИБ

43. Достижение надлежащего баланса между величинами рисков ИБ, связанных с наличием уязвимостей при выполнении процессов СОИБ, и ресурсным обеспечением ИБ, направленным на снижение указанных рисков путем обеспечения необходимых и достаточных уровней зрелости выполнения процессов СОИБ, обеспечивается путем определения и анализа целевых (контрольных) показателей эффективности использования ресурсов ИБ, используемых для повышения уровней зрелости выполнения процессов СОИБ.

44. Показатели эффективности использования ресурсов ИБ определяются на этапах:

расчета ресурсов ИБ (этап планирования), необходимых для повышения уровней зрелости выполнения процессов СОИБ;

оценки результатов повышения уровней зрелости выполнения процессов СОИБ после привлечения запланированных ранее ресурсов ИБ.

45. В качестве основных показателей эффективности использования ресурсов ИБ на этапе планирования рассматриваются:

ожидаемые результаты от снижения уровня рисков ИБ, связанных с повышением уровней зрелости выполнения процессов СОИБ;

срок получения ожидаемых результатов по повышению уровней зрелости выполнения процессов СОИБ.

Указанные показатели эффективности оцениваются экспертным путем и включаются в оценку достаточности финансовых средств, вложенных в повышение уровней зрелости выполнения процессов СОИБ.

46. В качестве основного показателя эффективности использования ресурсов ИБ на этапе оценки результатов повышения уровней зрелости выполнения процессов СОИБ рассматривается соотношение фактического ущерба (финансового эквивалента понесенных потерь) от:

инцидентов ИБ, в том числе непосредственных финансовых потерь от инцидентов ИБ;

финансовых потерь при нарушении непрерывности деятельности банка;

финансовых потерь в случае негативного влияния инцидентов ИБ на деловую репутацию банка;

величины финансовых средств, затраченных на ликвидацию последствий инцидентов ИБ, по отношению к предполагаемой на этапе планирования величине возможного ущерба (финансового эквивалента возможных потерь) банка.

47. В случае превышения фактических финансовых потерь от инцидентов ИБ над значениями, установленными на этапе планирования, банк анализирует причины и факторы возникновения рисковых событий, приводящих к финансовым потерям.

По результатам анализа разрабатывается план совершенствования СОИБ, который предусматривает:

пересмотр модели угроз и нарушителя;

пересмотр применяемых требований к обеспечению ИБ;

установление новых процессов СОИБ, в том числе связанных с изменениями модели угроз и нарушителя;

повышение уровней зрелости выполнения процессов СОИБ.

48. В качестве дополнительного показателя эффективности использования ресурсов ИБ на этапе оценки результатов повышения уровней зрелости выполнения процессов СОИБ учитывается своевременность реализации плана по повышению уровней зрелости выполнения процессов СОИБ.

49. Анализ целевых (контрольных) показателей эффективности использования ресурсов ИБ для повышения уровней зрелости выполнения процессов СОИБ осуществляется в конкретном временном интервале, устанавливаемом банком.

В случае необходимости банк осуществляет промежуточный анализ эффективности выполнения процессов СОИБ, в том числе выполняемый на основе показателей, установленных в части первой пункта 45 настоящего стандарта.