СОИБ. Защита информации в НПС


9 апреля на сайте АРБ был опубликован проект постановления правительства РФ «об утверждении Положения о защитеинформации в национальной платежной системе». Есть вероятность что положение близко к утверждению.

Документ интересный. Все фразы составлены очень гибко, в расчете на то что в дальнейшем требования будут ещё детализироваться операторами ПС. Но общая картина требований вырисовывается и сейчас:
·        Оператор ПС разрабатывает модель угроз
·        Субъекты ПС информируют Оператора если выявляют дополнительные угрозы
·        Конкретные требования по обеспечению защиты информации (ОЗИ)  для каждой платежной системы определяются Оператором.
·        Как минимум требования должны включать:
o   Выделение подразделения /ответственного за защиту информации
o   Анализ угроз
o   Управление рисками
o   Распределение ролей
o   Управление инцидентами
o   ОЗИ при работе с сетью Интернет
o   ОЗИ при доступе к инфраструктуре платежной системы
o   ОЗИ при создании, модернизации систем
o   контроль и оценку соответствия
o   применение СЗИ, в том числе прошедших оценку соответствия
§  СЗИ от НСД
§  Антивирусы
§  Межсетевые экраны
§  Средства обнаружения вторжений
§  Средства анализа защищенности
·        Субъекты сообщают Оператору об инцидентах ИБ
·        При использовании сети Интернет для передачи платежной информации Субъекты должны заранее определять и фиксировать цели её использования
·      Аутентифицировать клиента можно по ЭП, паролю и т.п.
·      Самооценка или аудит ИБ – не реже раза в 2 года

Не совсем понятно, как трактовать фразу:
“Требования к защите информации, включаемые в правила платежной системы,  …. должны включать:
Требования к применению средств защиты информации (…), в том числе прошедших в установленном порядке процедуру оценки соответствия”

Означает ли это что оценка соответствия будет требоваться обязательно?

В общем – пока это проект и выложен для общественного рассмотрения. Есть возможность внести предложения, критиковать и т.п.
UPD: Александр Бондаренко в своем блоге пишет про анализ данного постановления Минэкономразвитием.

Комментарии

Отправить комментарий

Популярные сообщения из этого блога

СКЗИ. НПА. Некоторые вопросы применения криптографии

Изображение
Как показывает практика, немногие организации помнят и руководствуются приказом ФАПСИ (правопреемником которой является ФСБ России) от 13 июня 2001 г. N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну ". А ведь Инструкция является обязательной при использовании сертифицированных СКЗИ для обеспечения безопасности информации ограниченного доступа (подлежащей защите в соответствии с законодательством РФ).     А это ПДн, все виды тайн, ГИСы, НПСы, будущие КИИ. С 2008 по 2012 год для ПДн действовало послабление в виде “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обесп
Далее...

Модель угроз безопасности клиента финансовой организации

Изображение
  Уже более 2 месяцев как вступил в силу методический документ ФСТЭК по моделированию угроз, а ни одного публичного примера модели угроз информационной безопасности сообществом не было опубликовано. Как мы обсуждали на межблогерском вебинаре по моделированию угроз ИБ , такой пример мог бы сильно помочь ответственным лицам, обязанным руководствоваться данной методикой. Пример модели угроз обещал сделать Алексей Лукацкий, но пока у него получилась серия публикаций про проблемы моделирования и примера ещё нет. В УЦСБ в рамках услуг по моделированию угроз, коллеги уже провели необходимую аналитику и подготовили внутренние средства автоматизации для разработки МУ, что уже говорит о возможности моделирования угроз по новой Методике.  К последнему межблогерскому вебинару по безопасности клиентов финансовых организаций я решил проверить насколько адекватной получится модель угроз для типового сегмента клиента ФО (а для данной статьи ещё и обновил графическое оформление). Давайте посмот
Далее...

КИИ. Категорирование объектов, часть 3

Изображение
Продолжаем проводить категорирование объекта КИИ на примере организации сферы здравоохранения. На предыдущем этапе мы выявили критические процессы организации. Теперь определяем объекты КИИ и отправляем их на согласование (этап простой и очевидный, но постараюсь добавить несколько полезных моментов) 3. Определение объектов КИИ Продолжаем начатое на прошлых этапах (а можно и совместить 1-3) общение с руководителями подразделений. Спрашиваем какие ИС или АСУ обрабатывают информацию, необходимую для обеспечения выявленных критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов. Отдельно в ИТ подразделении получаем полный перечень ИС (он должен был готовится в рамках мероприятий по ПДн) и АСУ, совместно с ИТ выкидываем из перечня ИС, не связанные с критическими процессами (как правило, кадровые, бухгалтерские, отчетность, банк-клиенты). В результате, того, что данные об ИС и АСУ получены не из одного источника, гарантируется его
Далее...