Внедрение СУИБ в соответствии с требованиями ISO/IEC 27001:2005 в международном банке Магнитогорск, 2011 г. Перминов Владимир Сергеевич CISM Начальник. - презентация

1 Внедрение СУИБ в соответствии с требованиями ISO/IEC 27001:2005 в международном банке Магнитогорск, 2011 г. Перминов Владимир Сергеевич CISM Начальник отдела консалтинга и поддержки продаж ЗАО «РНТ»

2 Внедрение СУИБ в международном банке Информация о банке Комитет по ИБ Этапы проекта Область деятельности СУИБ Сертификационный аудит

3 Информация о банке Крупный ритэйл банк в Азии 4 региональных офиса 125 дополнительных офисов 5000 сотрудников

4 Комитет по ИБ Президент Банка Комитет по ИБ Департамент по физической безопасности Департамент управления кадрами ИТ департамент Бизнес департаменты

5 Комитет по ИБ Президент Банка Комитет по ИБ Департамент по физической безопасности Департамент управления кадрами Департамент информационной безопасности ИТ департамент Бизнес департаменты

6 Этапы проекта Оценка текущего соответствия требованиям ISO/IEC 27001:2005 Внедрение СУИБ – Выбор Области деятельности – Разработка ОРД – Оценка рисков – Внедрение процессов Сертификационный аудит

7 Оценка текущего соответствия требованиям ISO/IEC 27001:2005 Документация по ИБ Основные системы – АБС – Система выпуска пластиковых карт – Терадата – Система хранения данных Локальная вычислительная сеть – Анализ конфигураций – Анализ уязвимостей

8 Результаты оценки соответствия требованиям ISO/IEC 27001:2005

9 Выбор Области деятельности Процессы – Обслуживание счетов клиентов – Формирование финансовой отчетности – Торговля на валютной бирже (Forex) – Выпуск пластиковых кредитных карт – Поддерживающие ИТ-процессы 13 дополнительных офисов 35 систем 250 сотрудников

10 Разработка ОРД Уровень 1 Политики ИБ Область деятельности СУИБ Описание бизнес процессов Положение о применимости контролей Роли и ответственность по ИБ Уровень 3 Внешние нормативные документы Уровень 4 Записи. Положения о подразделениях. Должностные инструкции. Рабочие инструкции. Приказы по ИБ. Протоколы решений по результатам Комитета по ИБ. Отчеты, предусмотренные процедурами ИБ. Уровень 2 Процедуры по информационной безопасности, необходимые для соответствия требованиям ISO/IEC 27001:2005

11 Описание бизнес процессов в области деятельности СУИБ Высокоуровневое описание процессов

12 Описание бизнес процессов в области деятельности СУИБ Детальное описание каждой активности I1 – Deals Input C1 – Limits C3 – Banks Policy & Manuals C4 – State Bank Regulations M1 – Reuters Dealing System M2 – Brokerage M3 – Telephone/ M4 – Dealers Documents 1. Treasury & Investment Policies 2. Treasury Manual 3. Adams Manual 4. Deal Ticket Format Assets 1. Five PCs 2. One Printer 3. Deal Tickets office copy 4. Five Dealers O1 – Command for Adams for Limit checks

13 Оценка рисков Шкала оценки ценности (ущерба) активов Оценка ценности (ущерба) актива Финансовые потери Потеря репутации Несоответствие требованиям регуляторов Предупреждение о несоответствии Официальный запрос Внеплановая проверка Принудительные санкции 5> > 250Отзыв лицензии

14 Оценка рисков Идентификация и классификация активов N п/п АктивВладелецРасположениеТип актива Оценка ценности 1 Customer account details & data Manager Operations Unibank Server at Computer Room Soft Copy5 2Cheque/ Instruments Manager Operations Store Room at Branch Hard Copy4 3 Deposit Slip (Pay in Slip) Manager Operations Store Room at Branch Hard Copy4 4 Clearing Schedule Manager Operations Store Room at Branch Hard Copy2

15 Оценка рисков

16 medium risk high risk very high risk low risk medium risk high risk very high risk low risk medium risk high risk very low risk low risk medium risk high risk very low risk low risk medium risk very lowlowmediumhigh very high very low low medium high very high Вероятность Ущерб

17 План обработки рисков

18 Внедрение процессов Аудит ИБ Корректирующие и предупреждающие действия Управление инцидентами ИБ Обучение и повышение осведомленности по ИБ Анализ эффективности процессов по установленным метрикам Анализ СУИБ со стороны руководства

19 Сертификационный аудит Предсертификационный аудит Сертификационный аудит – Аудит документации – Аудит внедрения СУИБ

20 СПАСИБО ЗА ВНИМАНИЕ