Председатель Правления

Р.А.Головченко

Обозначение показателя ИБ,
M_ij

Показатель ИБ

Оценка показателя ИБ*, G

Источник свидетельств

0

0,25

0,5

0,75

1

н/о

Показатели ИБ по направлению СИБ

Показатели по направлению СИБ «Обеспечение антивирусной защиты», М₁

M_1.1

Применяются ли на всех АРМ и серверах АБС, если иное не предусмотрено банковским технологическим процессом, средства антивирусной защиты

M_1.2

Определены, выполняются, регистрируются и контролируются ли банком процедуры установки и регулярного обновления средств антивирусной защиты (версий и баз данных) на АРМ, серверах и иных технических средствах АБС

M_1.3

Имеют ли используемые средства антивирусной защиты сертификат соответствия Национальной системы подтверждения соответствия Республики Беларусь или положительное экспертное заключение по результатам государственной экспертизы, проводимой Оперативно-аналитическим центром при Президенте Республики Беларусь

M_1.4

Организовано ли функционирование средств антивирусной защиты в автоматическом режиме на постоянной основе без возможности их отключения (за исключением лиц, осуществляющих администрирование средств антивирусной защиты)

M_1.5

Осуществляются ли установки обновлений антивирусного ПО и его баз данных в автоматическом или ручном режиме

M_1.6

Проводится ли администрирование средств антивирусной защиты от имени специальных учетных записей в соответствии с рекомендациями разработчика средств антивирусной защиты

M_1.7

Возложен ли контроль за установкой и функционированием средств антивирусной защиты на подразделение ИБ

M_1.8

Обеспечивается ли полное сканирование АРМ и серверов (в случае технической возможности без нарушения технологических процессов) регулярно (не менее 1 раза в месяц) в период их низкой загрузки и (или) в нерабочее время

M_1.9

Проводится ли при подключении съемных машинных носителей информации (далее – МНИ) к средствам вычислительной техники (далее – СВТ), перед началом использования их антивирусная проверка, как правило, на АРМ, не используемом в банковском технологическом процессе

M_1.10

Определены документально и выполняются ли процедуры предварительной проверки устанавливаемого или изменяемого ПО на отсутствие вирусов

M_1.11

Выполняется ли после установки или изменения ПО его антивирусная проверка

M_1.12

Хранятся ли данные о результатах установки, изменения ПО и антивирусной проверки не менее одного года

M_1.13

Разработаны и введены ли в действие инструкции и рекомендации по защите от вредоносного ПО (далее – ВПО), учитывающие особенности банковских технологических процессов

M_1.14

Доводятся ли до клиентов банка рекомендации по защите информации от воздействия ВПО

M_1.15

Реализована ли защита от вредоносного кода на уровне контроля общедоступных объектов доступа (в том числе банкоматов, платежных терминалов)

M_1.16

Организована ли проверка всего входящего трафика на наличие вредоносного кода потоковым антивирусом (за исключением зашифрованного трафика, а также трафика, передаваемого в специально организованных с платежными системами технологических каналах)

M_1.17

Определены, внедрены, регистрируются и контролируются ли процедуры, выполняемые в случае обнаружения ВПО, в которых фиксируются необходимые меры по отражению и устранению последствий вирусной атаки

M_1.18

Определены, внедрены, регистрируются и контролируются ли процедуры, выполняемые в случае обнаружения ВПО, в которых при необходимости фиксируется порядок приостановления работы (на период устранения последствий вирусной атаки)

M_1.19

Предусмотрены ли локальными правовыми актами по организации антивирусной защиты обязанности работников банка, имеющих доступ к АРМ и (или) АБС, по выполнению мер антивирусной защиты

Показатели по направлению СИБ «Обеспечение безопасной разработки ПО», М₂

M_2.1

Осуществляются ли процессы безопасной разработки ПО на плановой основе

M_2.2

Сформированы и предъявлены ли разработчиком на этапе разработки ПО требования безопасности к разрабатываемому ПО

M_2.3

Согласованы ли заказчиком на этапе разработки ПО требования безопасности к разрабатываемому ПО, сформированные разработчиком ПО

M_2.4

Осуществлено ли проектирование архитектуры ПО разработчиком с учетом результатов моделирования угроз безопасности информации

M_2.5

Сформированы и поддерживаются ли в актуальном состоянии разработчиком ПО правила написания исходного кода

M_2.6

Осуществляется ли при разработке ПО управление доступом к исходному коду (доступ к исходному коду программ должен быть ограничен)

M_2.7

Осуществляется ли при разработке ПО контроль целостности исходного кода

M_2.8

Проводится ли экспертиза исходного кода вновь разрабатываемого ПО в отношении как собственного разработанного кода, так и кода, заимствованного у сторонних разработчиков ПО

M_2.9

Осуществляется ли экспертиза исходного кода разрабатываемого ПО одним из следующих способов или их комбинацией:
самостоятельно банком;
разработчиком ПО;
третьей стороной на основе договорных отношений

M_2.10

Передаются ли банку результаты экспертизы исходного кода разрабатываемого ПО, проведенной разработчиком ПО или третьей стороной на основе договорных отношений

M_2.11

Проводится ли по результатам экспертизы исходного кода ПО, в случае необходимости, доработка ПО

M_2.12

Реализует ли разработчик ПО при выполнении тестирования:
функциональное тестирование ПО;
нефункциональное тестирование ПО;
тестирование на проникновение;
фаззинг-тестирование ПО

M_2.13

Используется ли при разработке ПО безопасная система сборки ПО и обеспечивается ли безопасность сборочной среды ПО

M_2.14

Отделяются ли друг от друга среда разработки, тестирования и рабочая среда для снижения рисков несанкционированного доступа (далее – НСД) или изменений в рабочей среде

M_2.15

Защищает ли разработчик ПО должным образом безопасные среды разработки и интеграции ПО, охватывающие весь цикл разработки

M_2.16

Обеспечивается ли в ходе разработки ПО безопасность информации, распространение и (или) предоставление которой ограничено, в том числе путем применения в соответствии с законодательством СКЗИ или иными методами

Показатели по направлению СИБ «Обеспечение безопасности АРМ», М₃

M_3.1

Разработана и внедрена ли банком политика безопасности, определяющая правила работы с информацией и ресурсами АРМ

M_3.2

Исключена ли на АРМ возможность доступа пользователей к настройкам BIOS (базовая система ввода-вывода) или UEFI (унифицированный расширяемый микропрограммный интерфейс)

M_3.3

Разработаны и внедрены ли механизмы идентификации и авторизации пользователей АРМ, в том числе с применением многофакторной аутентификации (для АРМ, подпадающих под действие стандарта индустрии платежных карт PCI DSS, а также АРМ работников банка, используемых для администрирования АБС банка)

M_3.4

Исключена ли возможность работы на АРМ неавторизованных пользователей

M_3.5

Разработаны, внедрены и контролируются ли правила генерации и смены паролей пользователей АРМ

M_3.6

Выполняется ли требование о недопустимости хранения аутентификационных данных в открытом виде на АРМ и в АБС

M_3.7

Используются ли для защиты аутентификационных данных на АРМ методы шифрования, а также хранение таких данных на специальном сервере аутентификации

M_3.8

Обеспечивается ли блокировка доступа к ресурсам АРМ после истечения установленного времени бездействия (неактивности) пользователя АРМ или по его запросу

M_3.9

Организованы и выполняются ли процедуры разграничения прав доступа к информации и ресурсам АРМ в соответствии с должностными обязанностями работников банка

M_3.10

Определен, внедрен и контролируется ли порядок использования съемных МНИ

M_3.11

Установлен ли по умолчанию запрет на несанкционированное подключение и использование съемных МНИ

M_3.12

Регистрируются и контролируются ли на АРМ, на которых обрабатывается информация, распространение и (или) предоставление которой ограничено, все операции с МНИ, такие как подключение, отключение, копирование файлов, с использованием программных и (или) аппаратных решений, направленных на защиту информации от НСД

M_3.13

Исключена ли возможность неконтролируемого доступа лиц к аппаратной части АРМ, а также установки и (или) запуска пользователями АРМ неразрешенного для использования ПО

M_3.14

Определен ли перечень разрешенного ПО и регламентирован ли порядок его установки и использования на АРМ

M_3.15

Соблюдается ли требование о недопущении использования портов ввода-вывода информации, кроме минимально необходимых для выполнения служебных обязанностей, на АРМ пользователей

M_3.16

Контролируется ли ввод-вывод информации на АРМ с использованием программно-технических средств и (или) организационными мерами

M_3.17

Ограничен ли доступ в помещения, где расположены АРМ (за исключением случаев их использования в банковском платежном технологическом процессе для оказания услуг)

M_3.18

Приняты ли меры по защите аппаратного обеспечения АРМ

M_3.19

Определены, внедрены и контролируются ли процедуры контроля отсутствия размещения на устройствах, задействованных в осуществлении банковского платежного технологического процесса, находящихся в общедоступных местах вне зоны постоянного контроля, в том числе банкоматах и платежных терминалах, специализированных средств, используемых для несанкционированного съема информации

M_3.20

Определены, внедрены и контролируются ли в банке процедуры обслуживания АРМ, в том числе используемых в банковском платежном технологическом процессе, включая замену их программных и (или) аппаратных частей

M_3.21

Осуществляется ли регулярно обновление ПО, установленного на АРМ

M_3.22

Осуществляются ли в банке на постоянной основе проведение инструктажей и обучение работников банка по вопросам ИБ при работе на АРМ

M_3.23

Осуществляется ли в банке эффективный контроль за учетом АРМ, их использованием и функционированием

Показатели по направлению СИБ «Обеспечение безопасности при работе с сетью Интернет», М₄

M_4.1

Предоставляется ли доступ к сети Интернет только ограниченному кругу работников банка в целях выполнения ими служебных (должностных) обязанностей, требующих непосредственного подключения к внешним информационным ресурсам и сервисам

M_4.2

Установлен ли локальными правовыми актами банка порядок использования сети Интернет с указанием целей такого использования

M_4.3

Установлены ли с целью ограничения нецелевого использования сети Интернет перечни ресурсов и сервисов, доступных работникам банка

M_4.4

Оформлено ли документально и выполняется ли наделение работников банка правами на использование сети Интернет в соответствии с их служебными (должностными) обязанностями
и назначенными им ролями

M_4.5

Определен ли банком документально порядок подключения и использования ресурсов и сервисов сети Интернет

M_4.6

Разработаны и введены ли в действие инструкции и регламенты по использованию сети Интернет, учитывающие особенности банковских технологических процессов

M_4.7

Определены ли и выполняются ли процедуры протоколирования посещения ресурсов и сервисов сети Интернет работниками банка

M_4.8

Обеспечен ли работникам подразделения ИБ доступ к данным о посещенных работниками банка ресурсах и сервисах сети Интернет

M_4.9

Ограничен ли (запрещен) доступ в сеть Интернет с АРМ, используемых для администрирования информационных систем (далее – ИС) банка

M_4.10

Осуществляется ли передача информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам, посредством сети Интернет с применением СКЗИ

M_4.11

При передаче общедоступной информации с использованием сети Интернет обеспечивается ли ее защита от модификации (изменения), блокирования правомерного доступа к ней, а также недопущение ее уничтожения

M_4.12

Применяются ли банком при осуществлении доступа к сети Интернет средства защиты информации (далее – СЗИ) (межсетевые экраны, антивирусные средства, маршрутизаторы и коммутаторы, выполняющие функцию маршрутизации, и др.), обеспечивающие прием и передачу информации в установленном формате и для конкретной технологии

M_4.13

Применяются ли при осуществлении дистанционного банковского обслуживания защитные меры, предотвращающие возможность подмены клиента, прошедшего авторизацию, злоумышленником в рамках сеанса работы

M_4.14

Регистрируются ли банком все попытки подмены злоумышленником клиента, прошедшего авторизацию, в рамках сеанса дистанционного банковского обслуживания

M_4.15

Выполняются ли операции клиентов в течение всего сеанса работы с системой дистанционного банковского обслуживания (далее – СДБО) только после прохождения процедур идентификации, многофакторной аутентификации (криптографический токен и (или) средства выработки электронной цифровой подписи) и авторизации

M_4.16

Обеспечиваются ли в случае нарушения или разрыва соединения закрытие текущей сессии в СДБО и повторное выполнение процедур идентификации, многофакторной аутентификации и авторизации

M_4.17

Используется ли для доступа клиентов к СДБО специализированное клиентское ПО со встроенными механизмами защиты

M_4.18

Осуществляется ли обмен сообщениями электронной почты посредством сети Интернет с использованием защитных мер, перечень и порядок применения которых определен документально

M_4.19

Организован ли обмен сообщениями электронной почты путем использования внешнего (подключенного к сети Интернет) и внутреннего (подключенного к внутренним сетям банка) почтовых серверов с безопасной системой репликации почтовых сообщений между ними

M_4.20

Архивируются ли все входящие и исходящие сообщения электронной почты

M_4.21

Определен ли банком срок хранения архивов сообщений электронной почты (должен быть не менее одного года)

M_4.22

Определены, выполняются, регистрируются и контролируются ли правила и процедуры доступа к информации архива и ее изменения, предусматривающие возможность доступа к ней работникам подразделения ИБ

M_4.23

Осуществляются ли хранение и обработка информации ограниченного распространения, не относящейся к государственным секретам, на СВТ с доступом в сеть Интернет и имеется ли на это разрешение руководства банка, подтвержденное документально

M_4.24

Определены ли состав и порядок применения мер ИБ, применяемых при взаимодействии с сетью Интернет и позволяющих обеспечить противодействие атакам злоумышленников и распространению спама

Показатели по направлению СИБ «Обеспечение безопасности серверного оборудования», М₅

M_5.1

Размещено и защищено ли серверное оборудование так, чтобы снизить риски, связанные с природными угрозами и опасностями, а также возможностью НСД

M_5.2

Оборудованы ли серверные помещения системами пожарной сигнализации и автоматического пожаротушения

M_5.3

Поддерживаются ли с помощью систем кондиционирования и вентиляции оптимальные температура и влажность в серверных помещениях для нормального функционирования серверного оборудования

M_5.4

Защищено ли серверное оборудование от перебоев в электроснабжении и других нарушений, вызванных перебоями в работе служб обеспечения

M_5.5

Ограничен и контролируется ли доступ в помещения, в которых размещается серверное оборудование, с применением систем контроля и управления доступом (далее – СКУД), видеонаблюдения

M_5.6

Обеспечена ли синхронизация временны́х меток и (или) системного времени серверного оборудования

M_5.7

Изменены ли реквизиты доступа к системному ПО серверного оборудования или заблокирована ли возможность использования таких реквизитов, установленных (используемых) по умолчанию

M_5.8

Предоставлен ли доступ к ресурсам серверного оборудования для выполнения служебных обязанностей по принципу минимальной достаточности

M_5.9

Используется ли многофакторная аутентификация для доступа привилегированных пользователей к ресурсам серверного оборудования

M_5.10

Осуществляется ли при эксплуатации сетей электросвязи общего пользования доступ к ресурсам серверного оборудования с применением сертифицированных средств линейного шифрования

M_5.11

Регламентированы и контролируются ли процедуры внесения изменений в конфигурацию аппаратной и программной частей серверного оборудования, предусматривающие согласование вносимых изменений с работниками подразделения ИБ

M_5.12

Предоставлен ли работникам подразделения ИБ доступ к конфигурации аппаратной и программной частей серверного оборудования без возможности внесения изменений в нее

M_5.13

Регламентированы, задокументированы и обеспечены ли на постоянной основе резервирование конфигурационных файлов и создание резервных копий данных серверного оборудования

M_5.14

Обновляются ли регулярно операционные системы и ПО, установленные на серверном оборудовании

M_5.15

Используются ли для защиты данных серверного оборудования от НСД средства межсетевого экранирования (файрволы) с применением сегментации сети

M_5.16

Предусмотрены ли в плане обеспечения непрерывной работы и восстановления работоспособности мероприятия на случай возникновения инцидентов безопасности с серверным оборудованием и размещенными на нем данными, включающие процедуры реагирования, восстановления данных и работоспособности серверного оборудования

M_5.17

Осуществляется ли регулярно (не реже 1 раза в год) проведение аудита ИБ и тестов на проникновение в информационную инфраструктуру банка с целью оценки эффективности принимаемых мер защиты информации, размещенной на серверном оборудовании

M_5.18

Обслуживается ли серверное оборудование надлежащим образом, чтобы гарантировать его постоянную работоспособность

M_5.19

Разработан и реализован ли банком механизм контроля за составом аппаратной части серверного оборудования

Показатели по направлению СИБ «Обеспечение безопасности среды виртуализации», М₆

M_6.1

Обеспечивается ли в АБС, СЗИ и среде виртуализации синхронизация временны́х меток и (или) системного времени

M_6.2

Реализованы ли меры по защите от агрессивного потребления ресурсов виртуальной инфраструктуры потребителями услуг

M_6.3

Осуществляется ли при использовании среды виртуализации сегментация вычислительных сетей, в том числе виртуальных вычислительных сетей, реализованных с использованием функциональных возможностей гипервизора

M_6.4

Обеспечивается ли обмен данными между сегментами (группами сегментов) вычислительных сетей среды виртуализации с применением средств межсетевого экранирования

M_6.5

Соблюдается ли запрет использования физического СВТ (хост-сервера), на котором размещается гипервизор, для функционирования ПО, не имеющего непосредственного отношения к работе гипервизора

M_6.6

Регламентированы и выполняются ли процессы жизненного цикла базовых образов виртуальных машин, в том числе процесс создания и модернизации базовых образов виртуальных машин

M_6.7

Согласован ли состав ПО каждого из базовых образов виртуальных машин с подразделением ИБ банка

M_6.8

Осуществляются ли при создании базовых образов виртуальных машин процедуры, необходимые для выполнения последующего контроля их целостности

M_6.9

Проводится ли тестирование ПО в виртуальной среде на этапах создания и (или) модернизации АБС в специально организованном виртуальном тестовом сегменте, доступ к которому осуществляется по отдельному физическому сетевому интерфейсу

M_6.10

Проводится ли в тестовом сегменте созданного или измененного базового образа виртуальной машины перед размещением в рабочей среде на основном оборудовании, реализующем технологию виртуализации, проверка на:
корректность работы программных компонентов;
отсутствие вредоносного кода;
соответствие настроек включенных в образ программных компонентов СЗИ требованиям, установленным соответствующей эксплуатационной документацией

M_6.11

Соблюдается ли запрет на копирование текущих образов виртуальных машин, используемых для функционирования серверных компонентов АБС банка, за исключением случаев создания копий, в том числе резервных, в соответствии с установленными регламентами технологических процессов банка

M_6.12

Соблюдается ли запрет на копирование текущих образов виртуальных машин, использующих СКЗИ, с загруженными криптографическими ключами без применения мер по защите этих ключей

M_6.13

Используются ли СЗИ для защиты информации, обрабатываемой и хранимой в среде виртуализации

M_6.14

Располагаются ли АРМ, используемые для выполнения задач администрирования серверных компонентов виртуализации, в специально выделенном сегменте вычислительных сетей

M_6.15

Соблюдается ли запрет на размещение в выделенном сегменте вычислительных сетей, предназначенном для выполнения задач администрирования серверных компонентов виртуализации, СВТ, не связанных с выполнением задач управления и администрирования

M_6.16

Соблюдается ли запрет на доступ с иных АРМ, не входящих в специально выделенный сегмент вычислительных сетей, для выполнения задач управления и администрирования серверных компонентов виртуализации

M_6.17

Применяется ли на СВТ, используемых для функционирования серверных компонентов виртуализации, минимально необходимый и регламентированный набор устройств (портов) ввода-вывода информации

M_6.18

Осуществляются ли контроль и протоколирование техническими средствами, в том числе средствами серверных компонентов виртуализации, следующих событий:
запуск (остановка) виртуальных машин;
изменение настроек виртуальных сетевых сегментов, реализованных средствами гипервизора;
создание и удаление виртуальных машин;
создание, изменение, копирование, удаление образов виртуальных машин;
копирование текущих образов виртуальных машин;
изменение полномочий доступа к серверным компонентам виртуализации, создание и удаление учетных записей, необходимых для доступа к серверным компонентам виртуализации;
изменение настроек серверных компонентов виртуализации;
идентификация и аутентификация персонала, обеспечивающего эксплуатацию и администрирование среды виртуализации, при осуществлении доступа к серверным компонентам виртуализации;
запуск (остановка) ПО серверных компонентов виртуализации, в том числе ПО гипервизора;
изменение настроек физических СВТ (хост-серверов), используемых для функционирования серверных компонентов виртуализации;
изменение настроек СЗИ, используемых для реализации доступа к серверным компонентам виртуализации;
изменение настроек СЗИ, используемых для целей обеспечения защиты информации виртуальных машин;
события ИБ виртуальной инфраструктуры

M_6.19

Осуществляется ли для серверных компонентов виртуализации защита от воздействия вредоносного кода, функционирующая на уровне гипервизора

M_6.20

Исключена ли при реализации технологии виртуализации рабочих мест пользователей возможность одновременной работы пользователя с разными виртуальными машинами, размещенными в разных сегментах вычислительных сетей и не включенными в единый контур безопасности

M_6.21

Размещаются ли в случае использования централизованных (общих) СЗИ, эксплуатируемых с использованием технологии виртуализации для обеспечения защиты информации более чем двух виртуальных машин, указанные СЗИ на отдельной виртуальной машине, предназначенной только для этой цели

M_6.22

Ограничено ли на виртуальных АРМ пользователей использование портов ввода-вывода информации минимальным для выполнения пользователем своих служебных обязанностей набором

M_6.23

Организован ли техническими средствами и (или) организационными мерами контроль использования набора портов ввода-вывода информации АРМ пользователей

M_6.24

Ограничена ли техническими средствами и (или) организационными мерами возможность самостоятельного:
изменения пользователями настроек виртуального АРМ, включая его аппаратные и программные компоненты;
подключения и использования пользователями дополнительных (несанкционированных) периферийных устройств, в том числе взамен ранее подключенных

M_6.25

Реализованы ли серверными компонентами виртуализации и (или) средствами централизованных сервисов аутентификации идентификация и аутентификация пользователей при предоставлении доступа к виртуальным машинам

M_6.26

Реализованы ли меры безопасного перемещения виртуальных машин и обрабатываемых на них данных

M_6.27

Реализованы ли меры резервного копирования эксплуатируемых виртуальных машин

Показатели по направлению СИБ «Обеспечение ИБ АБС на стадиях ее жизненного цикла», М₇

M_7.1

Осуществляется ли выполнение работ (оказание услуг) по обеспечению ИБ на всех стадиях жизненного цикла АБС по согласованию и под контролем подразделения ИБ

M_7.2

Соблюдаются ли требования законодательства в области лицензирования деятельности по технической и (или) криптографической защите информации при привлечении сторонних организаций к выполнению работ (оказанию услуг) в области защиты информации

M_7.3

Включаются ли в технические задания на разработку или модернизацию АБС требования по обеспечению ИБ, установленные и используемые в рамках технологических процессов банка, реализуемых создаваемой или модернизируемой АБС

M_7.4

Обеспечиваются ли банком на стадии создания и тестирования АБС и (или) ее компонентов реализация запрета на использование защищаемой информации в качестве тестовых данных, анонимность данных и контроль адекватности предоставления и разграничения доступа к информации, объектам, информационным ресурсам, за исключением случаев тестирования (приемки) результатов разработки АБС с использованием закрытого тестового контура банка

M_7.5

Определены, выполняются и регистрируются ли на стадии эксплуатации АБС процедуры контроля работоспособности (функционирования, эффективности) реализованных в АБС защитных мер, в том числе организационных защитных мер, состава и параметров настроек применяемых технических защитных мер

M_7.6

Определены, выполняются и регистрируются ли на стадии эксплуатации АБС процедуры контроля отсутствия уязвимостей в оборудовании и ПО АБС

M_7.7

Определены, выполняются и регистрируются ли на стадии эксплуатации АБС процедуры контроля внесения изменений в параметры настройки АБС и применяемых технических защитных мер

M_7.8

Определены, выполняются и регистрируются ли на стадии эксплуатации АБС процедуры контроля необходимого обновления ПО АБС, включая ПО технических защитных мер

M_7.9

Определены, выполняются, регистрируются и контролируются ли на стадии эксплуатации АБС процедуры, необходимые для обеспечения восстановления всех реализованных функций по обеспечению ИБ

M_7.10

Определены, выполняются и регистрируются ли на стадии эксплуатации АБС процедуры контроля состава устанавливаемого и (или) используемого ПО АБС

M_7.11

Определены, выполняются и регистрируются ли на стадии эксплуатации АБС процедуры, необходимые для обеспечения сохранности носителей защищаемой информации

M_7.12

Определены, выполняются и регистрируются ли на стадии сопровождения (модернизации) процедуры контроля, обеспечивающие защиту от умышленного несанкционированного раскрытия, модификации или уничтожения информации

M_7.13

Определены, выполняются и регистрируются ли на стадии сопровождения (модернизации) процедуры контроля, обеспечивающие защиту от неумышленного раскрытия, модификации или уничтожения информации

M_7.14

Определены, выполняются и регистрируются ли на стадии сопровождения (модернизации) процедуры контроля, обеспечивающие защиту от отказа в обслуживании или ухудшения качества обслуживания

M_7.15

Определены, выполняются и регистрируются ли на стадии сопровождения (модернизации) АБС, в которых обрабатывается защищаемая информация, в том числе АБС, задействованных в реализации банковского платежного технологического процесса, процедуры фиксации внесенных изменений

M_7.16

Определены, выполняются и регистрируются ли на стадии сопровождения (модернизации) АБС, в которых обрабатывается защищаемая информация, в том числе АБС, задействованных в реализации банковского платежного технологического процесса, процедуры проверки функциональности АБС, в том числе применяемых мер защиты информации, после внесения изменений

M_7.17

Определены, выполняются и документируются ли на стадии вывода из эксплуатации АБС процедуры, обеспечивающие удаление информации, несанкционированное использование которой может причинить ущерб банку, и информации, используемой средствами обеспечения ИБ, из постоянной памяти АБС и внешних носителей, за исключением архивов электронных документов и протоколов электронного взаимодействия, ведение и сохранность которых в течение определенного срока предусмотрены соответствующим законодательством, в том числе нормативными правовыми актами Национального банка, и (или) договорами

M_7.18

Определены и назначены ли банком роли, связанные с эксплуатацией и контролем эксплуатации АБС и применяемых технических защитных мер, в том числе с внесением изменений в параметры их настройки

M_7.19

Определены и выполняются ли для всех АБС процедуры контроля их эксплуатации в части обеспечения ИБ подразделением ИБ. Регистрируются ли результаты проведения мероприятий по контролю эксплуатации АБС

Показатели по направлению СИБ «Обеспечение криптографической защиты информации с применением СКЗИ», М₈

M_8.1

Отражено ли применение СКЗИ в политике ИБ банка или в разработанной частной политике ИБ по использованию СКЗИ в банке

M_8.2

Осуществляются ли работы по обеспечению ИБ с применением СКЗИ в соответствии с законодательством, а также документами, регламентирующими вопросы безопасной эксплуатации СКЗИ, программной и эксплуатационной документацией на СКЗИ и требованиями Оперативно-аналитического центра при Президенте Республики Беларусь в сфере защиты информации

M_8.3

Осуществляются ли установка и ввод в эксплуатацию, а также эксплуатация СКЗИ в соответствии с требованиями безопасности, предъявляемыми к СКЗИ, программной и эксплуатационной документации к таким СКЗИ

M_8.4

Применяются ли при использовании носителей ключевой информации для выполнения криптографических сервисов в СКЗИ внешние носители, которые определены программной и эксплуатационной документацией к СКЗИ

M_8.5

Поддерживается ли при применении СКЗИ непрерывность процессов протоколирования работы СКЗИ и обеспечения целостности ПО для среды функционирования СКЗИ, представляющей собой совокупность технических и программных средств, совместно с которыми происходит штатное функционирование СКЗИ и которые способны повлиять на выполнение предъявляемых к СКЗИ требований

M_8.6

Осуществляется ли управление криптографическими ключами (генерация, распределение, хранение, доступ, уничтожение) СКЗИ в соответствии с требованиями ТНПА, программной и эксплуатационной документацией на СКЗИ

M_8.7

Обеспечиваются ли в целях повышения уровня безопасности при эксплуатации СКЗИ и управления их криптографическими ключами аудит и мониторинг событий безопасности, связанных с функционированием СКЗИ

M_8.8

Определен ли руководством банка порядок применения СКЗИ с учетом требований пункта 108 СФУТ 9.03-2025, ТНПА, программной и эксплуатационной документации на СКЗИ

M_8.9

Регулируются ли договорами отношения, возникающие между банками и их клиентами при генерации криптографических ключей

Показатели по направлению СИБ «Обеспечение физической безопасности», М₉

M_9.1

Определены ли банком для обеспечения защиты мест нахождения защищаемых в рамках СИБ активов (ценные ресурсы банка, которые необходимо защищать: информация, оборудование, ПО, люди, процессы и т.д.) периметры безопасности, на которых применяются меры обеспечения физической защиты (СКУД, системы видеонаблюдения, освещения, охраны и т.д.)

M_9.2

Разработаны и применяются ли меры физической защиты от стихийных бедствий, аварий и противоправных действий

M_9.3

Выполняется ли требование о запрете несанкционированного перемещения защищаемых активов банка за пределы периметра безопасности

M_9.4

Принимаются ли в случае санкционированного перемещения активов за периметр безопасности меры по обеспечению их безопасности от уничтожения, модификации и утечки информации

M_9.5

Обеспечиваются ли контроль и ограничение доступа в помещения, где расположены защищаемые активы (серверные, центры обработки данных и т.д.), с помощью физических барьеров (двери, замки), электронных систем контроля доступа (СКУД, биометрических систем и т.д.), а также ведение учета доступа

M_9.6

Ограничен ли доступ в помещения, где расположены защищаемые активы (за исключением авторизованных лиц в рамках исполнения ими служебных (должностных) обязанностей)

M_9.7

Определены и реализуются ли для удаленных АРМ, банкоматов и платежных терминалов, расположенных за периметром безопасности, соответствующие меры безопасности посредством контроля и управления ими, исходя из оценки рисков (в том числе рисков ИБ)

M_9.8

Организовано ли на регулярной основе проведение с работниками банка инструктажей по физической безопасности в целях повышения их осведомленности о рисках и мерах защиты

M_9.9

Определены, внедрены и проводятся ли процедуры проверок системы безопасности, выявления уязвимостей и их устранения

Показатели по направлению СИБ «Обучение и повышение осведомленности по вопросам ИБ», М₁₀

M_10.1

Организована ли руководством банка (подразделением ИБ) на регулярной основе работа с работниками банка по обучению и повышению осведомленности в области ИБ

M_10.2

Содержит ли разработанная, внедренная и соблюдаемая банком политика ИБ требования по обучению и повышению осведомленности работников банка по вопросам ИБ

M_10.3

Разработаны ли ежегодные планы (программы) обучения и повышения осведомленности в области ИБ

M_10.4

Установлены ли в планах (программах) обучения и повышения осведомленности в области ИБ требования к периодичности обучения и повышения осведомленности в области ИБ

M_10.5

Разработаны ли планы (программы) обучения и повышения осведомленности в области ИБ для различных групп работников банка с учетом их служебных (должностных) обязанностей и выполняемых ролей

M_10.6

Содержат ли планы (программы) обучения и повышения осведомленности в области ИБ информацию:
о существующих политиках ИБ;
о применяемых в банке защитных мерах;
о правильном использовании защитных мер в соответствии с документами банка;
о значимости и важности деятельности работников банка для обеспечения ИБ банка

M_10.7

Включают ли обучение и повышение осведомленности не только теоретические, но и практические занятия, тренинги, симуляции, разбор реальных инцидентов ИБ, а также актуальную информацию о новых угрозах и трендах в области ИБ

M_10.8

Адаптировано ли обучение и повышение осведомленности работников банка к специфике деятельности банка, включая примеры из его опыта и практические сценарии, которые работники банка смогут применить в своей служебной деятельности

M_10.9

Осуществляется ли по результатам прохождения обучения и повышения осведомленности вопросам ИБ проверка полученных знаний

M_10.10

Документируются ли в банке процессы обучения и повышения осведомленности (планы, графики, отчеты о прохождении обучения и результаты тестов)

M_10.11

Организуется ли для работника банка, получившего новую роль, обучение или инструктаж в области ИБ, соответствующие полученной роли, связанные с применением организационных мер защиты информации и (или) использованием технических СЗИ

M_10.12

Определены ли в банке роли по разработке, реализации планов (программ) обучения и повышения осведомленности в области ИБ и по контролю результатов, а также назначены ли ответственные за выполнение указанных ролей

M_10.13

Обеспечивается ли банком регулярное информирование клиентов о рисках, мерах защиты и правилах безопасного использования банковских продуктов и услуг любым не запрещенным законодательством способом

Показатели по направлению СИБ «Предотвращение утечек конфиденциальной информации», М₁₁

M_11.1

Определены, выполняются, регистрируются и контролируются ли процедуры выявления, учета и классификации (отнесение к одному из видов информации в соответствии с законодательством) информационных активов банка

M_11.2

Применяются ли банком меры по защите информации любой категории, в том числе предотвращению ее утечки

M_11.3

Осуществляется ли защита информации в государственных ИС, а также ИС, содержащих информацию, распространение и (или) предоставление которой ограничено, в соответствии с законодательством

M_11.4

Разработан, выполняется и контролируется ли порядок хранения и обращения информации, подлежащей защите, а также порядок доступа к ней

M_11.5

Ограничен ли доступ к защищаемой информации на основе принципа минимальных привилегий и предоставляется ли он тем работникам банка, которым он действительно нужен для выполнения их служебных (должностных) обязанностей

M_11.6

Ознакомлены ли все работники банка под подпись с локальными правовыми актами, содержащими требования по ИБ

M_11.7

Даны ли работниками банка письменные обязательства о соблюдении конфиденциальности, приверженности правилам корпоративной этики, которые включают требования по недопущению конфликта интересов

M_11.8

Ограничен ли доступ в помещения, где хранится и обрабатывается защищаемая информация, в том числе путем внедрения пропускной системы

M_11.9

Используются ли для хранения носителей защищаемой информации сейфы и (или) запираемые шкафы, ограничивающие свободный доступ к их содержимому

M_11.10

Используется ли для доступа к ресурсам АРМ и АБС аутентификация

M_11.11

Внедрена ли политика использования паролей, включающая требования к их сложности и регулярной смене, а также запрет на хранение паролей в незащищенных местах

M_11.12

Внедрены ли системы предотвращения утечек информации по техническим каналам связи, которые позволяют контролировать потоки данных, выявлять и предотвращать утечки защищаемой информации, контролировать и анализировать содержимое передаваемых данных

M_11.13

Осуществляется ли передача защищаемой информации с использованием сети Интернет только при условии обеспечения ее защиты от НСД и модификации, в том числе с использованием СКЗИ

M_11.14

Выполняется ли запрет на несанкционированные руководством банка хранение и обработку защищаемой информации на СВТ, размещенных в сегментах вычислительных сетей банка, имеющих подключение к сети Интернет

M_11.15

Учтены и контролируются ли МНИ, предназначенные для обработки и хранения защищаемой информации

M_11.16

Определен ли документально порядок использования МНИ, предназначенных для обработки и хранения защищаемой информации

M_11.17

Осуществляется ли при выводе МНИ из эксплуатации или выводе из эксплуатации СВТ, в состав которых входят указанные МНИ, а также при необходимости их передачи в сторонние организации удаление информации с МНИ средствами, обеспечивающими полную перезапись данных

M_11.18

Проводится ли уполномоченными работниками банка анализ инцидентов безопасности для выявления причин утечек и принятия мер по их предотвращению в будущем

Показатели по направлению СИБ «Управление доступом», М₁₂

M_12.1

Учтены и зафиксированы ли права доступа работников и клиентов банка к его активам

M_12.2

Реализованы ли в АБС защитные меры от НСД, в том числе с использованием соответствующих СЗИ

M_12.3

Обеспечивают ли защитные меры от НСД сокрытие вводимых субъектами доступа (работниками и клиентами банка) аутентификационных данных на устройствах отображения информации

M_12.4

Осуществляется ли размещение устройств отображения информации АБС образом, препятствующим ее несанкционированному просмотру

M_12.5

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры идентификации, аутентификации, авторизации субъектов доступа, в том числе внешних субъектов доступа, которые не являются работниками банка, а также программных процессов (сервисов)

M_12.6

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры разграничения доступа к информационным активам на основе ролевого метода (прав доступа), с определением для каждой роли полномочий по доступу к информационным активам

M_12.7

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры управления предоставлением, отзывом и блокированием доступа, в том числе доступа, осуществляемого через внешние информационно-телекоммуникационные сети

M_12.8

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры регистрации действий субъектов доступа с обеспечением контроля целостности и защиты данных регистрации

M_12.9

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры управления идентификационными, аутентификационными данными и средствами аутентификации

M_12.10

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры управления учетными записями субъектов доступа

M_12.11

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры контроля за соблюдением правил генерации (создания) и смены паролей субъектов доступа

M_12.12

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры выявления и блокирования неуспешных попыток доступа

M_12.13

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры блокирования сеанса доступа после установленного времени бездействия или по запросу субъекта доступа, требующего выполнения процедур повторной аутентификации и авторизации для продолжения работы

M_12.14

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры управления набором разрешенных действий субъектов доступа до выполнения ими идентификации и аутентификации

M_12.15

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры ограничения действий пользователей по изменению параметров настроек АБС и реализации контроля действий персонала, обеспечивающего эксплуатацию и администрирование АБС банка, по изменению параметров настроек АБС

M_12.16

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры выявления и блокирования несанкционированного перемещения (копирования) информации, в том числе баз данных, файловых ресурсов, виртуальных машин

M_12.17

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры использования технологий беспроводного доступа к информации, в случае их применения, и защиты внутренних беспроводных соединений

M_12.18

Определены, выполняются, регистрируются и контролируются ли в банке правила и процедуры использования мобильных устройств для доступа к информации в случае их применения

M_12.19

Применяются ли процедуры управления доступом с обязательным условием соблюдения принципа минимальных и достаточных полномочий и исключением возможности наделения пользователем самого себя доступом к информационным активам

M_12.20

Применяются ли в банке меры, направленные на обеспечение защиты от НСД, повреждения или нарушения целостности данных о действиях и операциях

M_12.21

Применяются ли в банке меры по защите информации, необходимой для идентификации, аутентификации и (или) авторизации клиентов и работников банка

M_12.22

Регистрируются ли в банке все попытки НСД к информации о действиях и операциях

M_12.23

Ограничен ли доступ к данным о действиях и операциях (предоставляется только с целью выполнения служебных обязанностей)

M_12.24

Осуществляется ли доступ всех работников и клиентов банка в АБС под уникальными и персонифицированными учетными записями с минимально необходимыми привилегиями

M_12.25

Получают ли субъекты доступа доступ только к тем информационным активам банка, для которых у них есть авторизация

M_12.26

Определены, выполняются, регистрируются и контролируются ли в банке правила назначения и применения привилегированных прав доступа

M_12.27

Пересматриваются ли банком на регулярной основе права доступа пользователей к его активам, в том числе при увольнении или изменении служебных (должностных) обязанностей работников банка

M_12.28

Определены, выполняются, регистрируются и контролируются ли правила и процедуры проверки отсутствия незаблокированных учетных записей:
бывших работников банка, с которыми прекращены трудовые отношения;
работников банка, отсутствующих на рабочем месте более 60 календарных дней;
работников внешних (подрядных) организаций, прекративших свою деятельность в банке;
неопределенного назначения

Показатели по направлению СИБ «Управление событиями и инцидентами ИБ», М₁₃

M_13.1

Определены, выполняются, регистрируются и контролируются ли правила и процедуры мониторинга событий ИБ, анализа и хранения данных о действиях и операциях, позволяющие выявлять неправомерные или подозрительные операции и транзакции

M_13.2

Обеспечено ли в банке ведение журналов действий и операций АРМ, серверного и сетевого оборудования, межсетевых экранов и АБС с целью их использования при реагировании на инциденты ИБ

M_13.3

Защищены ли журналы действий и операций от уничтожения и несанкционированных изменений

M_13.4

Регистрируется ли доступ к журналам действий и операций

M_13.5

Обеспечивается ли хранение данных о действиях и операциях не менее одного года

M_13.6

Используются ли для осуществления мониторинга событий ИБ и анализа данных о действиях и операциях специализированные программные и (или) технические средства (SIEM-системы)

M_13.7

Применяются ли процедуры мониторинга событий ИБ и анализа на регулярной основе ко всем выполненным действиям и операциям (транзакциям)

M_13.8

Подвергаются ли процедуры мониторинга событий ИБ регулярным и регистрируемым пересмотрам в связи с выявлением новых угроз и уязвимостей ИБ, а также на основе данных, полученных в ходе анализа зафиксированных событий ИБ, с целью внесения изменений в состав и способы реализации защитных мер ИБ

M_13.9

Определены ли в банке роли, связанные с выполнением процедур мониторинга событий ИБ и их пересмотром, а также назначены ли ответственные за выполнение этих ролей

M_13.10

Доводятся ли оповещения о событиях ИБ автоматически до уполномоченных работников банка по соответствующим каналам управления незамедлительно

M_13.11

Регистрируются и контролируются ли в банке события ИБ, связанные с действиями работников банка по управлению учетными записями и правами субъектов доступа

M_13.12

Регистрируются и контролируются ли в банке события ИБ, связанные с действиями работников банка, обладающих правами по изменению параметров настроек средств и систем защиты информации, параметров настроек АРМ и АБС, связанных с обеспечением защиты информации

M_13.13

Регистрируются и контролируются ли в банке события ИБ, связанные с действиями работников банка, обладающих правами по управлению криптографическими ключами и СКЗИ

M_13.14

Информируются ли работники банка о порядке действий при обнаружении событий ИБ и порядке информирования о них ответственных за обеспечение ИБ

M_13.15

Осуществляется ли оценка событий ИБ, на основании которой принимается решение, следует ли их классифицировать как инцидент ИБ

M_13.16

Классифицируются ли инциденты ИБ в соответствии с требованиями законодательства с учетом степени их влияния (критичности) на предоставление финансовых услуг, реализацию бизнес-процессов и (или) технологических процессов банка

M_13.17

Определены документально, выполняются, регистрируются и контролируются ли в банке процедуры обнаружения инцидентов ИБ

M_13.18

Определены документально, выполняются, регистрируются и контролируются ли в банке процедуры информирования об инцидентах ИБ, в том числе информирования подразделения ИБ

M_13.19

Определены документально, выполняются, регистрируются и контролируются ли в банке процедуры классификации инцидентов и оценки ущерба, нанесенного инцидентом ИБ

M_13.20

Определены документально, выполняются, регистрируются и контролируются ли в банке процедуры реагирования на инцидент ИБ

M_13.21

Определены документально, выполняются, регистрируются и контролируются ли в банке процедуры анализа причин инцидентов ИБ и оценки результатов реагирования на инциденты ИБ (при необходимости – с участием внешних экспертов в области ИБ)

M_13.22

Разработаны и внедрены ли планы реагирования на инциденты ИБ, включающие конкретные действия по локализации, устранению и восстановлению после инцидентов ИБ

M_13.23

Определены ли в банке роли по обнаружению, классификации, реагированию, анализу и расследованию инцидентов ИБ, а также назначены ли ответственные за выполнение этих ролей

M_13.24

Принимаются, фиксируются и выполняются ли принятые решения по всем выявленным в банке инцидентам ИБ

M_13.25

Используются ли знания, полученные из анализа и разрешения инцидентов ИБ, для уменьшения вероятности инцидентов в будущем или их влияния на деятельность банка

M_13.26

Обнаруживаются, регистрируются и оперативно устраняются ли сбои в системах мониторинга событий ИБ

Показатели по направлению СИБ «Управление уязвимостями», М₁₄

M_14.1

Определены и инвентаризированы ли все активы банка (АБС, ИС, оборудование, ПО, данные и т.д.)

M_14.2

Классифицированы и инвентаризированы ли активы по степени их критичности или важности