Кибербезопасность в условиях электронного банкинга. Практическое пособие

1. Предусмотрен ли в кредитной организации коллегиальный или иной орган, ответственный за рассмотрение заявок на новые разработки (доработки) и за решение вопроса о необходимости реализации нового проекта (например, комитет по технологиям)?

2. Входят ли в состав комитета по технологиям:

– куратор по информационным технологиям?

– представитель подразделения информационной безопасности?

3. Разработан ли и утвержден ли документ (регламент комитета по технологиям), регламентирующий порядок проведения заседаний комитета?

4. Предусмотрено ли регламентом комитета по технологиям ознакомление с заявкой и обоснованием по проекту?

5. Предусмотрена ли регламентом комитета по технологиям оценка необходимости реализации проекта с учетом приоритетов, определенных в Стратегии по внедрению информационных технологий (или стратегическом плане по информационным технологиям) банка?

6. Предусмотрена ли регламентом комитета по технологиям оценка вариантов реализации проекта с учетом анализа:

– технологичности и удобства эксплуатации готового решения?

– интегрируемости с информационной системой банка?

– информационной безопасности?

– стоимости внедрения и сопровождения?

– трудоемкости, сроков реализации и внедрения?

– выявления и парирования источников внутренних и внешних рисков, сопутствующих внедрению и эксплуатации проекта?

7.2.3. Организация (адаптация) процедур внутреннего аудита и контроля на этапе планирования реализации системы электронного банкинга

Содержание этапа планирования реализации СЭБ предполагает проработку системы планов и распределения обязанностей между отдельными структурными подразделениями или сотрудниками, задействованными в разработке (приобретении) и эксплуатации СЭБ.

План разработки (приобретения) СЭБ должен представлять собой общий документ, содержащий описание основных процедур, распределение сроков исполнения и ответственности.

Проект плана разработки (приобретения) СЭБ обсуждается членами комитета по технологиям, по результатам обсуждения в план вносятся необходимые корректировки, он одобряется комитетом по технологиям и утверждается куратором по ИТ.

Общий план разработки (приобретения) СЭБ должен доводиться до руководителей всех задействованных в плане подразделений и соответствующих специалистов данных подразделений.

В связи с тем что разработка (приобретение отдельных модулей) СЭБ представляет собой сложный многозадачный последовательный процесс, требующий согласованности с существующими бизнес-процессами в кредитной организации, архитектурой ее внутренних распределенных автоматизированных систем, целесообразным является включение в план пунктов, описывающих отчетные или контрольные мероприятия.

Включение таких контрольных точек позволит руководству кредитной организации, СВК и другим заинтересованным подразделениям контролировать исполнение плана и при необходимости своевременно вносить изменения в те или иные мероприятия.

Контрольные точки следует включать в план таким образом, чтобы они позволяли выделять и объединять функционально и технологически связанные между собой виды работ в группы, поддающиеся автономному анализу или тестированию с целью контроля качества их исполнения.

Например, включение в план непосредственно разработки СЭБ позволит осуществлять тестирование отдельных модулей программного обеспечения и комплексов аппаратного обеспечения значительно раньше этапа контрольных испытаний СЭБ, что даст возможность выявить часть источников рисков, заложенных на первоначальных этапах, и вовремя устранить их.

Немаловажным является детальное распределение ответственности за исполнение плана работ. Такое распределение ответственности может фиксироваться в плане работ, в отдельном документе либо в совокупности распорядительных документов.

Подготовка распределения ответственности возлагается на комитет по технологиям. При подготовке должны учитываться функции задействованных подразделений и обязанности их сотрудников, отраженные во внутренних документах кредитной организации, текущие планы деятельности данных подразделений и другие факторы, влияющие на текущую деятельность подразделений.

Распределение должно включать в себя в том числе перечень подразделений или сотрудников кредитной организации, ответственных:

– за разработку описания комплекса требований (бизнес-требований) к программному обеспечению в рамках СЭБ;

– разработку технопроектной документации к программному и аппаратному обеспечению СЭБ;

– разработку технорабочей документации к программному и аппаратному обеспечению СЭБ;

– разработку программного обеспечения в рамках СЭБ;

– проведение конъюнктурного анализа и приобретение у сторонних организаций-разработчиков программного обеспечения в рамках СЭБ;

– организацию и проведение контрольных испытаний, периодического тестирования, мониторинг возникающих ошибок и сбоев СЭБ;

– сопровождение СЭБ.