Кибербезопасность в условиях электронного банкинга. Практическое пособие

Вместе с тем, учитывая индивидуальные особенности внутренней структуры и деятельности кредитной организации, отдельные виды испытаний СЭБ можно объединить в единый процесс приемочных испытаний.

Испытания могут быть автономными или комплексными. Автономные испытания охватывают части автоматизированной системы. Их проводят по мере готовности частей к сдаче в опытную эксплуатацию. Комплексные испытания проводят для групп взаимосвязанных частей автоматизированной системы или для автоматизированной системы в целом.

Вне зависимости от стадии испытаний СЭБ проверке или аттестации в ней подвергают:

– отдельный модуль СЭБ;

– СЭБ в целом;

– персонал кредитной организации, функциональные обязанности которого предполагают работу с СЭБ;

– эксплуатационную документацию, регламентирующую деятельность персонала при функционировании СЭБ.

При испытаниях СЭБ в целом рекомендуется уделять внимание:

– качеству выполнения комплексом программных и технических средств автоматических функций во всех режимах функционирования СЭБ согласно техническому заданию (описанию постановки комплекса задач) на создание СЭБ;

– знанию персоналом кредитной организации эксплуатационной документации и наличию у него навыков, необходимых для выполнения установленных функций во всех режимах функционирования СЭБ, согласно описанию постановки комплекса задач;

– полноте содержащихся в эксплуатационной документации указаний персоналу кредитной организации по выполнению им функций во всех режимах функционирования СЭБ согласно описанию постановки комплекса задач;

– количественным и (или) качественным характеристикам выполнения автоматизированных функций СЭБ в соответствии с описанием постановки комплекса задач;

– другим свойствам СЭБ, которым она должна соответствовать согласно описанию постановки комплекса задач.

Испытания СЭБ следует проводить на стенде, подготовленном и приближенном к условиям работы подразделения-заказчика. По согласованию между подразделением-заказчиком и разработчиком возможны предварительные испытания и приемка программных средств СЭБ без стенда (с использованием технических средств разработчика), если созданы условия для получения достоверных результатов испытаний.

Допускаются последовательное проведение испытаний и последовательная сдача частей СЭБ в опытную и постоянную эксплуатацию при соблюдении установленной в техническом задании очередности ввода автоматизированной системы в действие.

В соответствии с классификацией стадий испытаний СЭБ предварительные испытания могут быть также автономными и комплексными.

Автономные предварительные испытания СЭБ

Автономные предварительные испытания СЭБ следует проводить в соответствии с программой и методикой автономных испытаний, разрабатываемыми для каждой части СЭБ.

В программе автономных испытаний могут содержаться:

– перечень функций, подлежащих испытаниям;

– описание взаимосвязей объекта испытаний с другими частями СЭБ и внутрибанковскими автоматизированными системами;

– условия, порядок и методы проведения испытаний и обработки результатов;

– критерии приемки частей СЭБ по результатам испытаний.

К программе автономных предварительных испытаний может быть приложен график проведения испытаний.

Подготовленные и согласованные тесты (контрольные примеры) на этапе автономных предварительных испытаний должны обеспечить:

– полную проверку функций и процедур по перечню, согласованному с заказчиком;

– необходимую точность вычислений, установленную в описании постановки комплекса задач;

– проверку основных временных характеристик функционирования программных средств (в тех случаях, когда такие характеристики являются существенными);

– проверку надежности и устойчивости функционирования программных и технических средств.

В целях обеспечения достоверности в качестве исходной информации для теста может быть использован фрагмент реального информационного массива данных в объеме, достаточном для обеспечения необходимой достоверности испытаний.

Результаты автономных испытаний частей СЭБ следует фиксировать в протоколах испытаний. Протокол должен содержать заключение о возможности (невозможности) допуска части СЭБ к комплексным испытаниям.

В случае если проведенные автономные испытания будут признаны недостаточными либо будет выявлено нарушение требований регламентирующих документов по составу или содержанию документации, испытываемая часть СЭБ может быть возвращена на доработку, при этом назначается новый срок испытаний.

Любые испытания СЭБ должны проводиться соответствующей комиссией, состоящей из руководителей и сотрудников основных подразделений, в чьи функции входит непосредственная работа с СЭБ: подразделений информационных технологий (HT-подразделений), информационной безопасности и т. д. Состав комиссии утверждается приказом или распоряжением, которые могут содержать:

– наименование(я) принимаемой СЭБ в целом или ее частей;

– сведения о составе комиссии;

– основание для организации комиссии;

– наименование подразделения-заказчика;