Кибербезопасность в условиях электронного банкинга. Практическое пособие

– оценка возможности (технологичности и удобства) интеграции с действующими автоматизированными системами. Такую возможность необходимо оценивать с учетом планов развития действующих в банке автоматизированных систем: их доработки, замены и т. д. В противном случае обоснование может оказаться объективным в конкретный момент и недостоверным в ближайшие последующие периоды, что может привести к стратегически неверным решениям руководства кредитной организации на следующем этапе – этапе принятия решения о новом проекте СЭБ;

– адекватная организация распределения информационных ресурсов, определение круга подразделений, которые могут быть задействованы в реализации и последующей эксплуатации СЭБ, сопоставление с имеющимися штатными ресурсами и организационной структурой кредитной организации. Необходимо также оценить основные роли и распределение прав доступа с точки зрения соответствия действующей в кредитной организации политике информационной безопасности (ПИБ) и т. д.;

– оценка стоимости разработки, внедрения и сопровождения СЭБ. Следует учитывать, что СЭБ может быть приобретена у сторонней организации-разработчика или поставщика, представляющего интересы разработчика, как целиком, так и в виде отдельных модулей и технических средств либо разработана кредитной организацией (при этом приобретается только соответствующее оборудование). В последнем случае может потребоваться увеличить штатную численность специалистов подразделения автоматизации. В обосновании может быть также отражена информация об объеме затрат, связанных с модернизацией СЭБ, и т. д.;

– оценка трудоемкости и сроков исполнения всех работ, связанных с разработкой (закупкой) и внедрением СЭБ. Такая оценка должна основываться на штатном расписании кредитной организации, принятых нормах и внутренних правилах осуществления подобных работ;

– общий перечень рисков и их источников, с которыми может столкнуться кредитная организация, используя СЭБ, и которым необходимо будет уделять внимание на всех этапах жизненного цикла системы;

– оценка информационной безопасности.

Обоснование проекта СЭБ должно представлять собой документ общего характера, не предполагающий глубокой детализации всех рассматриваемых аспектов. Вместе с тем информация, изложенная в данном документе, должна быть достаточной для объективного, взвешенного принятия решения.

После составления заявки и обоснования по проекту документы визируются руководителем подразделения-заказчика или группой руководителей соответствующих подразделений.

Все отмеченные аспекты являются основой для оценки качества организации этапа обоснования нового проекта СЭБ службами внутреннего аудита и контроля. При этом основными и минимально необходимыми являются следующие вопросы:

1. Начинается ли процедура принятия решения о внедрении нового проекта (модернизации) СЭБ с формирования подразделением-заказчиком документарно оформленной заявки на разработку (доработку) СЭБ?

2. Наделено ли подразделение информатизации (или иное подразделение) функциями анализа поступивших заявок и подготовки обоснования по проекту или иного аналитического документа по итогам рассмотрения заявки?

3. Производится ли (и отражается ли в обосновании по проекту) ответственным подразделением (специалистом) анализ заявки в части необходимости реализации нового проекта, в том числе с точки зрения:

– технологичности и удобства эксплуатации готового решения?

– информационной безопасности, необходимости и достаточности прав доступа для пользователей потенциальной разработки?

– стоимости внедрения и сопровождения?

– трудоемкости, сроков реализации и внедрения?

– выявления и парирования источников внутренних и внешних рисков, сопутствующих внедрению и эксплуатации проекта?

4. Согласуется ли документ «Обоснование по проекту» с руководителями подразделения информатизации и подразделения-заказчика?

7.2.2. Организация процедур внутреннего аудита и контроля на этапе принятия решения о новом проекте системы электронного банкинга

Содержание данного этапа предполагает детализированный анализ всей информации, подготовленной на этапе обоснования нового проекта СЭБ, с целью принятия взвешенного, объективного стратегического решения о целесообразности реализации системы.

С точки зрения достижения объективности и обеспечения всестороннего анализа необходимости внедрения и использования кредитной организацией СЭБ видится целесообразной организация коллективного совещательного органа – так называемого комитета по технологиям, функциональное назначение которого заключается в анализе всего массива информации (заявки и обоснования по проекту) и принятии соответствующего решения.

Комитет по технологиям или иной коллегиальный орган с обозначенными функциями может быть сформирован решением СД (наблюдательного совета) как действующий на постоянной основе либо формироваться избирательно (в зависимости от масштаба рассматриваемого вопроса) на временной основе.