Тк 68 Банковские и другие финансовые услуги. Руководящие указания по информационной безопасности

В настоящем приложении приведено краткое описание документа [7].

Область применения

Финансовые учреждения все чаще используют информационные технологии для успешного ведения бизнеса. Менеджмент риска является основным компонентом обеспечения качественных финансовых услуг. Финансовые учреждения управляют риском через эффективную практику бизнеса, внимательное заключение договоров, страхование и использование механизмов безопасности.

Финансовые учреждения испытывают потребность управления безопасностью информации в любых ситуациях. Настоящий документ не предлагает решений для всех ситуаций. Каждая ситуация должна быть исследована индивидуально. Настоящий документ содержит общие рекомендации.

Основными задачами настоящего документа являются:

- представление структуры программы информационной безопасности;

- представление руководства по выбору средств управления безопасностью, устанавливающего приемлемую практику ведения бизнеса,

- соответствие существующим стандартам, а также новым разработкам объективных и общепринятых критериев безопасности.

Настоящий документ предназначается для использования финансовыми учреждениями всех типов, которые желают применить экономную и коммерчески целесообразную программу обеспечения информационной безопасности. Он также полезен для тех, кто предоставляет услуги финансовым учреждениям. Настоящий документ может также служить в качестве первоисточника для преподавателей и издателей, обслуживающих финансовую деятельность.

Содержание

1 Введение

2 Управление безопасностью ИТ

3 Политика безопасности ИТ организации

4 Организация безопасности ИТ

4.1 Обязательства

4.2 Ответственность и полномочия

5 Анализ риска

5.1 Введение

5.2 Иллюстрированный процесс оценки риска

5.3 Угрозы

5.4 Уязвимости

5.5 Категории рисков

5.6 Идентификация и анализ функций организации

5.7 Процесс оценки риска

6 Рекомендации по обеспечению безопасности ИТ

6.1 Принятие риска

7 Выбор защитных мер по обеспечению безопасности

7.1 Классификация информации

7.2 Логическое управление доступом

7.3 След ревизии

7.4 Управление изменениями

8 Внедрение защитных мер

8.1 Компьютеры

8.2 Сети

8.3 Программное обеспечение

8.4 Голосовая, телефонная и другая взаимосвязанная аппаратура

8.5 Факсы и изображения

8.6 Электронная почта

8.7 Документы на бумажном носителе

8.8 Микроформы и другие способы хранение носителей информации

8.9 Карты финансовой транзакции

8.10 Автоматические ответчики

8.11 Электронные фонды и трансферты

8.12 Чеки

8.13 Электронная коммерция

8.14 Электронные деньги

8.15 Внесистемные средства

8.16 Страхование

8.17 Аудит

8.18 Обязательное соответствие

8.19 Планирование восстановления после стихийного бедствия

8.20 Внешние поставщики услуг

8.21 Криптографические операции

8 22 Секретность (защита частной информации)

8.23 Внедрение криптографических средств управления

9 Осведомленность о безопасности

9.1 Осведомленность об информационной безопасности

9.2 Человеческие факторы

10 Дальнейшее обеспечение безопасности

10.1 Техническое обслуживание

10.2 Соответствие безопасности

10.3 Мониторинг

10.4 Обработка инцидента

11 Ссылки

Приложение А (справочное) Образцы документации

Приложение В (справочное) Примеры базового уровня и обеспечение безопасности

Приложение G

(справочное)