В целях повышения уровня информационной безопасности, как самого Банка России, так и организаций банковской системы РФ был разработан Стандарт Банка России СТО БР ИББС-1.0-2010 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации» (общее положение).

В результате разработанного стандарта Банк России является сторонником регулярного проведения аудита ИБ в организациях БС РФ.

Аудиторско-консалтинговая группа ООО «Листик и Партнёры» руководствуясь стандартами Банка России: «Аудит информационной безопасности» СТО БР ИББС-1.1-2010, а также «Методикой оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2010» СТО БР ИББС-1.2-2010 предлагает услуги по проведению аудита для оценки соответствия информационной безопасности требованиям стандарта Банка России.

Область аудита:

• Организационные документы Банка, устанавливающие порядок обеспечения информационной безопасности.
• Автоматизированная система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационные технологии выполнения функций Банка.

Актуальные проблемы информационной безопасности кредитных организаций:

• Как проверить адекватность системы обеспечения информационной безопасности сегодняшним реалиям; найти уязвимые места и выявить возможные варианты для проникновения извне?
• Как повысить доверие к организации со стороны клиентов и регулятора?
• Как организовать систему самооценки информационной безопасности банка с помощью необходимых методик и документов?

 Одним из условий реализации целей деятельности кредитных организаций является обеспечение необходимого и достаточного уровня информационной безопасности (ИБ). Основным из видов проверки уровня ИБ является оценка соответствия. Мировой опыт в области обеспечения ИБ определяет её как важнейший процесс в непрерывном цикле процессов обеспечения ИБ организации.

Как осуществляется оценка соответствия

В ходе оценки соответствия информационной безопасности Банка проводятся следующие работы:

• Подготовка к проведению оценки.
• Проведение оценки ИБ на месте.
• Опрос сотрудников проверяемой организации и независимой (третьей) стороны.
• Изучение настроек технических средств обеспечения ИБ.
• Наблюдение за деятельностью организации в области ИБ.
• Приведение комплекта документации по системе информационной безопасности банка к положениям Стандарта.
• Сбор свидетельств оценки ИБ для проведения оценивания.
• Проведение итогового совещания с участием руководства Банка
• Подготовка отчета и заключения по результатам оценки соответствия ИБ Банка требованиям стандарта
• Подписание акта сдачи-приемки выполненных работ. Окончание проекта.

Руководство проверяемой организации несет ответственность за:

• достоверность и полноту предоставляемой аудиторской организации информации;
• любые ограничения возможности осуществления аудиторской организацией своих обязательств.

Для выполнения работ в сфере аудита информационной безопасности привлекаются только высококвалифицированные специалисты, а именно: разработчики стандартов; технические эксперты в области построения систем безопасности; специалисты, имеющие практический опыт построения в кредитных организациях систем управления информационной безопасностью в соответствии с требованиями стандартаСТО БР ИББС-1.0-2010.

После проведения Аудита ИБ Банка, не только повышается уровень доверия и лояльности со стороны Центробанка, клиентов и партнеров, но и формируются ответы на самые важные для обеспечения безопасности деятельности банка вопросы:

• насколько хорошо построена служба ИБ;
• где слабые места;
• что нужно сделать, чтобы отдел информационной безопасности банка своевременно реагировал на негативные факторы.

Важным итогом проведенного аудита и приведения системы информационной безопасности в соответствие со Стандартом Банка России является и создание полного комплекта нормативных документов, определяющих структуру и регламентирующих работу службы ИБ, ее взаимодействие с другими подразделениями банка. Излишним будет напоминать, что именно эта документальная база и является основным объектом проверки и контроля надзорными органами.