Кибербезопасность в условиях электронного банкинга. Практическое пособие

– порядок привлечения экспертов для исследования возможных нарушений целостности данных, антивирусной защиты и т. д. в процессе проведения испытаний;

– требования к персоналу кредитной организации, проводящему испытания, и порядок его допуска к испытаниям с использованием действующей информационной базы данных.

В разделе «Материально-техническое обеспечение испытаний» указываются конкретные виды материально-технического обеспечения с распределением задач и обязанностей подразделений и организаций – контрагентов кредитной организации, участвующих в испытаниях.

В разделе «Отчетность» приводят перечень отчетных документов, которые должны оформляться как в процессе проведения испытаний, так и по их завершении, с указанием подразделений кредитной организации, разрабатывающих и согласующих сроки оформления этих документов. К отчетным документам могут относиться акт и отчет о результатах испытаний.

В приложения могут включаться перечень методик испытаний, применяемых для оценки характеристик СЭБ, и контрольные примеры с детальным описанием тестов, осуществляемых в ходе испытаний системы.

Методики испытаний разрабатывают на основе описания постановки комплекса задач и утвержденных программ испытаний с использованием типовых методик испытаний (при наличии). Отдельные положения типовых методик испытаний могут уточняться и конкретизироваться в разрабатываемых методиках испытаний в зависимости от особенностей СЭБ и условий проведения испытаний. Содержание разделов методик устанавливается подразделением-разработчиком совместно с подразделением – заказчиком СЭБ.

Все перечисленные выше аспекты могут являться основой для оценки качества организации этапа испытаний, сдачи и приемки в эксплуатацию СЭБ службами внутреннего аудита и внутреннего контроля. Основными и минимально необходимыми вопросами являются следующие:

– разработаны ли «Программа и методика испытаний СЭБ» или иной подобный документ?

– разработан ли «Контрольный пример испытаний СЭБ» или иной подобный документ?

– назначен ли ответственный за организацию испытаний СЭБ?

– определены ли члены экспертной комиссии по проведению испытаний СЭБ?

– входит ли в состав экспертной комиссии представитель подразделения-разработчика?

– входит ли в состав экспертной комиссии представитель подразделения, ответственного за сопровождение СЭБ?

– входит ли в состав экспертной комиссии представитель организации – поставщика системы или модулей СЭБ?

– входит ли в состав экспертной комиссии представитель организации-провайдера?

– входит ли в состав экспертной комиссии представитель подразделения информационной безопасности?

– входит ли в состав экспертной комиссии представитель подразделения-заказчика?

– отражены ли в протоколе результаты испытаний, а также выявленные ошибки и сбои?

– согласован ли протокол испытаний членами экспертной комиссии?

– оформляется ли процедура передачи в эксплуатацию СЭБ или модулей СЭБ актом приемки-передачи?

– согласуется ли акт приемки-передачи подразделением-разработчиком, подразделением-заказчиком, куратором информационных технологий либо членами комитета по технологиям?

7.2.7. Организация (адаптация) процедур внутреннего аудита и контроля на этапе эксплуатации системы электронного банкинга

Качество организации процедур внутреннего аудита и контроля в части организационных мер предоставления услуг и выполнения операций посредством СЭБ зависит от следующих моментов:

– предусматривается ли проверка СВА соответствия перечня услуг и операций, которые предлагаются клиентам, перечню, заявленному в договорах с клиентами и технической документации;

– разработаны ли и утверждены ли внутренние документы, определяющие порядок предоставления и изменения доступа клиентов к услугам и операциям по технологии ЭБ;

– разработана ли и утверждена ли методика оценки и мониторинга источников рисков, связанных с использованием СЭБ.

Важной с точки зрения минимизации операционного и репутационного рисков кредитной организации является качественная организация информационного обеспечения СЭБ.

Целесообразной является разработка кредитной организацией внутреннего документа, регламентирующего процедуры изменения и дополнения публикуемой информации. Эффективность данного документа может зависеть от того, содержит ли он:

– порядок принятия решений о внесении изменений и дополнений в публикуемую информацию;

– порядок назначения сотрудников, ответственных за внесение изменений и дополнений в публикуемую информацию;

– порядок контроля своевременности и полноты внесения изменений и дополнений в публикуемую информацию.

В части правового обеспечения при организации соответствующих процедур внутреннего контроля следует обращать внимание: