Оценим систему управления операционным риском ИБ и ИТ, выявим несоответствия 716-П и подготовим план корректирующих действий, учитывающих особенности вашего бизнеса.
Оценка соответствия 716-П для кредитных организации и банков
Документ Центробанка № 716-П
требует от банков выстроить систему управления рисками в сфере информационных технологий и информационной безопасности.
Банки обязаны постоянно заниматься управлением рисками: искать угрозы, оценивать, насколько сильно они могут ударить по бизнесу, заранее продумывать меры защиты и всё время следить за ситуацией.
Риски — это возможные потери из-за:
- ошибок в работе процессов;
- неправильных действий своих сотрудников или сторонних лиц;
- сбоев техники и программ;
- слабых мест в контроле и защите;
- других похожих причин.
Документ Центробанка № 716-П
требует от банков выстроить систему управления рисками в сфере информационных технологий и информационной безопасности.
Банки обязаны постоянно заниматься управлением рисками: искать угрозы, оценивать, насколько сильно они могут ударить по бизнесу, заранее продумывать меры защиты и всё время следить за ситуацией.
Риски — это возможные потери из-за:
- ошибок в работе процессов;
- неправильных действий своих сотрудников или сторонних лиц;
- сбоев техники и программ;
- слабых мест в контроле и защите;
- других похожих причин.
Что проверяем
Проверим функционирование системы информационной безопасности в целях управления риском информационной безопасности, в том числе:
- политику информационной безопасности;
- наличие должностного лица, ответственного за функционирование системы обеспечения ИБ;
- процессы выявления и идентификации риска ИБ, а также его оценку;
- процессы выявления событий риска ИБ;
- процессы повышения осведомленности, обучения и развития навыков работников Компании в области ИБ;
- процессы мониторинга и реагирования на выявленные события риска ИБ;
- процессы планирования, разработки, реализации, контроля и совершенствования комплекса мероприятий, направленных на повышение эффективности управления риском ИБ и уменьшение негативного влияния риска ИБ.
Проверим функционирование системы управления риском информационных систем (ИС), в том числе:
- политику информационных систем;
- положения и стратегии по обеспечению непрерывности и восстановления функционирования ИС;
- наличие должностного лица, ответственного за ИС;
- архитектуру ИС и состав ее элементов;
- процессы обеспечения непрерывности и качества функционирования ИС;
- процессы обеспечения качества данных в ИС, обеспечивающих критически важные процессы;
- процессы резервного копирования;
- процессы контроля выполнения требований к информационным системам, обеспечивающим функционирование системы ИБ;
- процессы тестирования уязвимостей ИС и их компонентов и других источников риска ИС;
- мероприятия, направленные на повышение качества системы управления риском ИС и снижение уровня риска ИС.
Проанализируем какие функции, операции, услуги, процессы и (или) этапы процессов, передаются на аутсорсинг третьим лица. Проверим элементы управления риском аутсорсинга в Компании:
- функции и полномочия подразделений Компании в рамках управления риском аутсорсинга;
- процессы идентификации риска аутсорсинга;
- процессы сбора и регистрации информации о событиях (случаях) фактической реализации риска аутсорсинга;
- процессы мониторинга и реагирования на выявленные события риска аутсорсинга;
- процессы планирования, разработки, реализации, контроля и совершенствования комплекса мероприятий, направленных на повышение качества управления риском аутсорсинга и уменьшение негативного влияния риска аутсорсинга.
Управление риском информационной безопасности
Проверим функционирование системы информационной безопасности в целях управления риском информационной безопасности, в том числе:
- политику информационной безопасности;
- наличие должностного лица, ответственного за функционирование системы обеспечения ИБ;
- процессы выявления и идентификации риска ИБ, а также его оценку;
- процессы выявления событий риска ИБ;
- процессы повышения осведомленности, обучения и развития навыков работников Компании в области ИБ;
- процессы мониторинга и реагирования на выявленные события риска ИБ;
- процессы планирования, разработки, реализации, контроля и совершенствования комплекса мероприятий, направленных на повышение эффективности управления риском ИБ и уменьшение негативного влияния риска ИБ.
Управление риском информационных систем
Проверим функционирование системы управления риском информационных систем (ИС), в том числе:
- политику информационных систем;
- положения и стратегии по обеспечению непрерывности и восстановления функционирования ИС;
- наличие должностного лица, ответственного за ИС;
- архитектуру ИС и состав ее элементов;
- процессы обеспечения непрерывности и качества функционирования ИС;
- процессы обеспечения качества данных в ИС, обеспечивающих критически важные процессы;
- процессы резервного копирования;
- процессы контроля выполнения требований к информационным системам, обеспечивающим функционирование системы ИБ;
- процессы тестирования уязвимостей ИС и их компонентов и других источников риска ИС;
- мероприятия, направленные на повышение качества системы управления риском ИС и снижение уровня риска ИС.
Управление риском аутсорсинга ИТ и ИБ
Проанализируем какие функции, операции, услуги, процессы и (или) этапы процессов, передаются на аутсорсинг третьим лица. Проверим элементы управления риском аутсорсинга в Компании:
- функции и полномочия подразделений Компании в рамках управления риском аутсорсинга;
- процессы идентификации риска аутсорсинга;
- процессы сбора и регистрации информации о событиях (случаях) фактической реализации риска аутсорсинга;
- процессы мониторинга и реагирования на выявленные события риска аутсорсинга;
- процессы планирования, разработки, реализации, контроля и совершенствования комплекса мероприятий, направленных на повышение качества управления риском аутсорсинга и уменьшение негативного влияния риска аутсорсинга.
Управление риском информационной безопасности
Проверим функционирование системы информационной безопасности в целях управления риском информационной безопасности, в том числе:
- политику информационной безопасности;
- наличие должностного лица, ответственного за функционирование системы обеспечения ИБ;
- процессы выявления и идентификации риска ИБ, а также его оценку;
- процессы выявления событий риска ИБ;
- процессы повышения осведомленности, обучения и развития навыков работников Компании в области ИБ;
- процессы мониторинга и реагирования на выявленные события риска ИБ;
- процессы планирования, разработки, реализации, контроля и совершенствования комплекса мероприятий, направленных на повышение эффективности управления риском ИБ и уменьшение негативного влияния риска ИБ.
В итоге вы получите
Рекомендации по устранению нарушений
Формируем реестр несоответствий, составляем приоритетный план устранения выявленных нарушений.
Детализированный отчет
Формируем отчет с результатами проверки, выявленными несоответствиями и практическими рекомендациями по их устранению.
Консультационная поддержка
Осуществляем консультативную поддержку как во время аудита, так и после.
Рекомендации по устранению нарушений
Формируем реестр несоответствий, составляем приоритетный план устранения выявленных нарушений.
Детализированный отчет
Формируем отчет с результатами проверки, выявленными несоответствиями и практическими рекомендациями по их устранению.
Консультационная поддержка
Осуществляем консультативную поддержку как во время аудита, так и после.
Особенности нашей работы
Работаем очно и дистанционно
При необходимости выезжаем на площадку, чтобы глубже понять бизнес и выявить реальные риски.
Долгосрочное партнёрство
Становимся доверенным партнером по ИБ, а не разовым подрядчиком.
Смежная экспертиза
Объединяем опыт различных ИБ направлений и ИТ: пентесты, мониторинг инцидентов, внедрение любых СЗИ
Не ограничиваемся отчетом
Помогаем внедрить изменения до результата и перепроверить на соответствие требованиям 757-П и ГОСТ Р 57580
Работаем очно и дистанционно
При необходимости выезжаем на площадку, чтобы глубже понять бизнес и выявить реальные риски.
Долгосрочное партнёрство
Становимся доверенным партнером по ИБ, а не разовым подрядчиком.
Смежная экспертиза
Объединяем опыт различных ИБ направлений и ИТ: пентесты, мониторинг инцидентов, внедрение любых СЗИ
Не ограничиваемся отчетом
Помогаем внедрить изменения до результата и перепроверить на соответствие требованиям 757-П и ГОСТ Р 57580
Этапы проведения аудита
Предварительный анализ
Предварительный сбор данных. Изучаем бизнес-процессы компании, модель угроз и внутреннюю нормативную базу. Формируем границы работ в части ИБ и ИТ-рисков.
Активная фаза
Анализируем корректность и полноту реализации процессов управления рисками ИТ и ИБ, проводим интервьюирование персонала.
Аналитика и разработка
Анализируем данные, собранные во время активной фазы. Оцениваем, насколько текущее состояние системы управления рисками ИТ и ИБ соответствует требованиям 716‑П. Разработка детальных рекомендаций.
Формирование отчета
Подготавливаем отчет, формируем реестр нарушений.
Предварительный анализ
Предварительный сбор данных. Изучаем бизнес-процессы компании, модель угроз и внутреннюю нормативную базу. Формируем границы работ в части ИБ и ИТ-рисков.
Активная фаза
Анализируем корректность и полноту реализации процессов управления рисками ИТ и ИБ, проводим интервьюирование персонала.
Аналитика и разработка
Анализируем данные, собранные во время активной фазы. Оцениваем, насколько текущее состояние системы управления рисками ИТ и ИБ соответствует требованиям 716‑П. Разработка детальных рекомендаций.
Формирование отчета
Подготавливаем отчет, формируем реестр нарушений.
ITG Security - это
Всё в одном окне
Полный спектр услуг — от аудитов и пентестов до круглосуточного мониторинга и интеграции решений
Партнёрство и сопровождение
Мы внимательно слушаем, объясняем сложное простым языком и сопровождаем вас на каждом этапе
Разультативность, а не формальности
Обеспечиваем практическую защиту бизнеса, давая измеримые результаты, а не только отчёты
Прозрачность и надёжность
Работаем открыто, честно и быстро решаем возникающие вопросы, обеспечивая стабильное сотрудничество
Индивидуальный подход
Решения максимально адаптированы к специфике и культуре вашего бизнеса, без шаблонов
Всё в одном окне
Полный спектр услуг — от аудитов и пентестов до круглосуточного мониторинга и интеграции решений
Партнёрство и сопровождение
Мы внимательно слушаем, объясняем сложное простым языком и сопровождаем вас на каждом этапе
Разультативность, а не формальности
Обеспечиваем практическую защиту бизнеса, давая измеримые результаты, а не только отчёты
Прозрачность и надёжность
Работаем открыто, честно и быстро решаем возникающие вопросы, обеспечивая стабильное сотрудничество
Индивидуальный подход
Решения максимально адаптированы к специфике и культуре вашего бизнеса, без шаблонов
Лицензии
Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.
Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.
Лицензия ФСТЭК на техническую защиту конфиденциальной информации позволяет ITG Security оказывать услуги по:
- контролю защищённости от НСД и модификации в системах информатизации;
- проектированию защищённых средств, систем и помещений;
- установке, монтажу, испытаниям и ремонту СЗИ;
- разработке П(ПТ)СЗИ, защищённых средств обработки и контроля защищённости.
- услуги по мониторингу информационной безопасности средств и систем информатизации;
Лицензия ФСБ РФ
Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.
Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.
Лицензия ФСТЭК РФ
Лицензия ФСТЭК на техническую защиту конфиденциальной информации позволяет ITG Security оказывать услуги по:
- контролю защищённости от НСД и модификации в системах информатизации;
- проектированию защищённых средств, систем и помещений;
- установке, монтажу, испытаниям и ремонту СЗИ;
- разработке П(ПТ)СЗИ, защищённых средств обработки и контроля защищённости.
- услуги по мониторингу информационной безопасности средств и систем информатизации;
Лицензия ФСБ РФ
Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.
Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.
Похожие услуги
Часто задаваемые вопросы
Оценка соответствия требованиям Положения Банка России № 716-П необходима всем кредитным организациям и организациям банковских групп.
Положение Банка России № 716-П регламентирует управление операционным риском. Оно описывает, как выявлять, классифицировать, оценивать и контролировать риски, способные привести к убыткам из-за сбоев в процессах, ошибок сотрудников, проблем с ИТ-системами или действиями третьих лиц.
Положение Банка России № 779-П регулирует непрерывность финансовых услуг, требуя определения допустимого времени простоя или ухудшения технологических процессов.
В ходе проведения оценки соответствия проверяются процессы управления риском информационной безопасности, риском информационных систем, риском аутсорсинга (в рамках ИТ, ИБ).
По итогам оценки формируем отчет, реестр несоответствий с практическими рекомендациями по их устранению, составляем приоритетный план устранения выявленных нарушений.
Да. После проведения оценки помогаем с доработкой документов, формированием плана устранения несоответствий, консультируем по устранению выявленных нарушений.
