Кибербезопасность в условиях электронного банкинга. Практическое пособие

Хорошей практикой является наличие общего описания внешнего информационного контура кредитной организации, в котором выделены участки взаимодействия непосредственно с информационным контуром СЭБ.

Схема информационного контура приводится с кратким функциональным описанием ее элементов.

Качество документа должно позволить:

– выделить основные технологические и функциональные участки передачи, приема, контроля, обработки и хранения информации;

– установить их физическое размещение;

– оценить концентрацию источников рисков на различных участках информационного контура.

Сведения, отображаемые в схеме функциональной структуры информационного контура СЭБ, требуются для ее тестирования и качественной организации обслуживания.

Помимо отмеченных документов в кредитной организации могут быть разработаны и другие проектные документы в соответствии с утвержденным перечнем проектной документации на СЭБ.

Все проектные документы должны разрабатываться в соответствии с принятой в кредитной организации практикой ведения документооборота – ответственными по соответствующим направлениям деятельности с учетом их координации между собой – и утверждаться куратором по информационным технологиям.

Все перечисленные выше аспекты являются основой для оценки качества организации внутреннего аудита и внутреннего контроля на этапе проектирования СЭБ. При этом основными и минимально необходимыми являются следующие вопросы:

1. Разработан ли перечень требуемой проектной документации?

2. Разработаны ли перечисленные или подобные им документы:

– описание постановки комплекса задач?

– описание системы защиты?

– альбом выходных форм?

– описание технологии взаимодействия с банковской автоматизированной системой?

– описание комплекса технических средств?

– схема функциональной структуры информационного контура СЭБ?

3. Разработаны ли иные документы, предусмотренные перечнем проектной документации?

7.2.5. Организация (адаптация) процедур внутреннего аудита и контроля на этапе разработки системы электронного банкинга

На данном этапе производится непосредственно разработка СЭБ. Подразумеваются:

– разработка либо приобретение программного обеспечения в соответствии с перечнем программного обеспечения, утвержденным на этапе проектирования, и в соответствии с другими проектными документами, такими как описание постановки комплекса задач, альбом выходных форм, описание системы защиты, описание технологии взаимодействия с банковской автоматизированной системой. Разрабатываются или приобретаются: клиентская часть для «толстого клиента», автоматизированные рабочие места операторов в кредитной организации, администраторов системы, администраторов информационной безопасности системы, программное обеспечение серверной части системы, необходимое для сопряжения с другими внутрибанковскими автоматизированными системами, и т. д.;

– разработка (монтаж) сегментов электронной вычислительной сети, являющихся частью информационного контура СЭБ, в соответствии с подготовленной на этапе проектирования проектной документацией (в т. ч. схемой функциональной структуры информационного контура): прокладка необходимых участков кабеля, установка и настройка сетевого оборудования, сетевого программного обеспечения и т. д.;

– разработка необходимой эксплуатационной документации;

– разработка необходимой внутренней документации, регламентирующей обеспечение информационной безопасности и непрерывности функционирования СЭБ;

– заключение договоров (контрактов) с контрагентами – поставщиками программного обеспечения и оборудования для информационного контура СЭБ;

– заключение договоров (контрактов) с провайдерами на предоставление услуг связи;

– разработка типовых договоров с клиентами на обслуживание посредством СЭБ.

Договоры с контрагентами

Важным на данном этапе является обеспечение должного качества договоров с контрагентами. Этому вопросу помимо юридической службы должны также уделять внимание и специалисты СВК кредитной организации.

К числу аспектов, которым следует уделять внимание, относится наличие в договоре (контракте) с поставщиком описания программного и аппаратного обеспечения СЭБ, положения о сопровождении поставляемого программного обеспечения или иных технических средств на протяжении всего срока их службы либо приобретении полного комплекта технической документации, обеспечивающего возможность сопровождения программного обеспечения или иных технических средств и их компонентов без участия разработчика.