Внедрение СУИБ в соответствии с требованиями ISO/IEC 27001:2005 в международном банке

Внедрение СУИБ в международном банке
Информация о банке
Комитет по ИБ
Этапы проекта
Область деятельности СУИБ
Сертификационный аудит

Информация о банке
Крупный ритэйл банк в Азии
4 региональных офиса
125 дополнительных офисов
5000 сотрудников

Комитет по ИБ
Президент
Банка
Комитет по ИБ
Департамент по физической безопасности
Департамент управления кадрами
ИТ департамент
Бизнес департаменты

Комитет по ИБ
Президент
Банка
Комитет по ИБ
Департамент по физической безопасности
Департамент управления кадрами
Департамент информационной безопасности
ИТ департамент
Бизнес департаменты

Этапы проекта
Оценка текущего соответствия требованиям ISO/IEC 27001:2005
Внедрение СУИБ
Выбор Области деятельности
Разработка ОРД
Оценка рисков
Внедрение процессов
Сертификационный аудит

Оценка текущего соответствия требованиям ISO/IEC 27001:2005
Документация по ИБ
Основные системы
АБС
Система выпуска пластиковых карт
Терадата
Система хранения данных
Локальная вычислительная сеть
Анализ конфигураций
Анализ уязвимостей

Результаты оценки соответствия требованиям ISO/IEC 27001:2005

Выбор Области деятельности
Процессы
Обслуживание счетов клиентов
Формирование финансовой отчетности
Торговля на валютной бирже (Forex)
Выпуск пластиковых кредитных карт
Поддерживающие ИТ-процессы
13 дополнительных офисов
35 систем
250 сотрудников

Разработка ОРД
Уровень 1
Политики ИБ
Область деятельности СУИБ
Описание бизнес процессов
Положение о применимости контролей
Роли и ответственность по ИБ
Уровень 3
Внешние нормативные документы
Уровень 4
Записи. Положения о подразделениях. Должностные инструкции. Рабочие инструкции. Приказы по ИБ. Протоколы решений по результатам Комитета по ИБ. Отчеты, предусмотренные процедурами ИБ.
Уровень 2
Процедуры по информационной безопасности, необходимые для соответствия требованиям ISO/IEC 27001:2005

Описание бизнес процессов в области деятельности СУИБ
Высокоуровневое описание процессов

Описание бизнес процессов в области деятельности СУИБ
Детальное описание каждой активности
I1 – Deals Input
C1 – Limits
C3 – Bank’s Policy & Manuals
C4 – State Bank Regulations
M1 – Reuter’s Dealing System
M2 – Brokerage
M3 – Telephone/email
M4 – Dealers
Documents
1. Treasury & Investment Policies
2. Treasury Manual
3. Adams Manual
4. Deal Ticket Format
Assets
1. Five PCs
2. One Printer
3. Deal Tickets office copy
4. Five Dealers
O1 – Command for Adams
for Limit checks

Оценка рисков
Шкала оценки ценности (ущерба) активов

Оценка рисков
Идентификация и классификация активов

Оценка рисков

Оценка рисков
Вероятность
Ущерб

План обработки рисков

Внедрение процессов
Аудит ИБ
Корректирующие и предупреждающие действия
Управление инцидентами ИБ
Обучение и повышение осведомленности по ИБ
Анализ эффективности процессов по установленным метрикам
Анализ СУИБ со стороны руководства

Сертификационный аудит
Предсертификационный аудит
Сертификационный аудит
Аудит документации
Аудит внедрения СУИБ