Выполнение требований регуляторов может носить формальный характер, а может перерасти в действительно успешный проект по построению системы защиты информации. В частности, лишь в единичных случаях в проектах по приведению в соответствие с требованиями стандарта СТО БР ИББС банк внедряет систему менеджмента информационной безопасности (СМИБ). А ведь именно СМИБ является ядром обеспечения информационной безопасности и важным инструментом управления. Как показывает практика компании «Инфосистемы Джет», снижение операционных затрат на ИБ при ее внедрении может достигать 10-15%.

ЧТО ПРЕДСТАВЛЯЕТ СОБОЙ СМИБ?

По сути, СМИБ - это некий кодекс правил, регулирующих информационную безопасность в банках. В основе этих правил лежат подходы и положения международного стандарта ISO 27001, который очень популярен у руководителей западных компаний. Чем же вызвана такая популярность? При построении СМИБ создается ряд инструментов, которые позволяют руководству отслеживать, как именно в банке обеспечивается информационная безопасность. Эти инструменты служат не только для принятия своевременных и обоснованных управленческих решений, но и для того, чтобы направить работу всей системы обеспечения ИБ (СОИБ) на достижение целей бизнеса. Кроме того, СМИБ дает инструмент для анализа, как реализуются поставленные цели и насколько эффективны средства, используемые для решения поставленных задач. Ведь в идеале каждая задача информационной безопасности должна быть направлена на достижение той или иной цели бизнеса.

Основным движущим механизмом СМИБ является периодический анализ рисков информационной безопасности, что дает возможность взвешенного и обоснованного подхода к выбору механизмов защиты. Это позволяет сконцентрировать усилия на решении действительно значимых задач по обеспечению ИБ. Также внедрение СМИБ подразумевает необходимость описания и внедрения процессов обеспечения ИБ и механизмов, повышающих уровень зрелости банка. Например, таких механизмов, как закрепление обязанностей и ответственности конкретных лиц за выполнение определенных процессов ИБ, определение порядка действий, а также способов оценки эффективности работы данных процессов. За счет этого значительно снижаются затраты на операционные расходы.

В проекте по внедрению СМИБ можно выделить следующие основные этапы:
1. Определение области деятельности СМИБ. Область деятельности удобнее всего формулировать в виде перечня бизнес-процессов банка. Рекомендуется начинать с небольшой области и постепенно расширять ее. В этом случае банку не придется «резко начинать новую жизнь».
2.   Формализация бизнес-процессов в рамках области деятельности СМИБ.
Под формализацией бизнес-процессов понимается их детальное описание в подходящем формате, например IDEF0. При этом удобнее всего использовать специализированные программные средства описания бизнес-процессов.
3.   Проведение оценки и анализа рисков ИБ. На данном этапе для выбранной области деятельности осуществляется определение угроз, критичных для бизнеса, вероятности их возникновения и возможного ущерба. После чего проводится расчет рисков и их ранжирование по уровням.
4.   Разработка плана обработки рисков.
Риски, уровень которых превышает приемлемый, должны быть обработаны. Обработка предполагает одно из следующих действий: снижение, страхование, исключение, принятие.
5.   Определение ролевой структуры СМИБ. На данном шаге определяется состав сотрудников банка (а точнее -перечень должностей), которые будут задействованы в процессах СМИБ.
6.   Разработка и/или доработка комплекта необходимой организационно-распорядительной документации СМИБ.
В комплекте документации определяются правила и требования по ИБ банка в преломлении на роли, определенные на предыдущем шаге.
7.   Внедрение процессов СМИБ. На данном шаге проводится обучение персонала, первичный запуск и тестовая наладка процессов.
8.   Ввод СМИБ в эксплуатацию. Ввод в эксплуатацию осуществляется внутренним приказом банка после того,
как завершено внедрение и  наладка процессов.

Снижение операционных затрат на ИБ и снижение потерь от инцидентов начинает происходить после ввода СМИБ в эксплуатацию (как показано на рисунке).

ЧТО ДАЕТ СМИБ?

По нашему опыту, СМИБ окупает себя уже через несколько месяцев эксплуатации и дает банку следующие выгоды:
•   прозрачный и удобный для руководства механизм управления информационной безопасностью;
•    оптимизация и обоснование расходов на информационную безопасность;
•     повышение защищенности всей СОИБ Банка.

Более шести лет компания «Инфо-системы Джет» реализует проекты, связанные со стандартом СТО БР ИББС. В настоящее время стандарт приобретает все большую актуальность для банковских организаций в связи с возможностью руководствоваться им при защите персональных данных и другой конфиденциальной информации. Все большее количество банков доверяет нам построение СОИБ «под ключ»: от оценки соответствия требованиям стандарта до внедрения СМИБ и технических средств защиты.