Аудит системы информационной безопасности Банка

Аудит системы информационной безопасности Банка
Клиент : Крупный национальный Банк
Услуга : Аудит системы информационной безопасности
Период реализации проекта : 4 квартал 2020 г.

Клиент

Клиент - специализированный банк по работе с юридическими лицами, особенно в части экспортных программ, торгового финансирования и взаиморасчетов между национальными предприятиями и предприятиями стран Ближнего Востока.

Задача

Задача 1. Оценка соответствия информационной безопасности Банка требованиям стандарта СТБ 34.101.41 «Информационные технологии и безопасность. Обеспечение информационной безопасности банков. Общие положения».

Задача 2. Проведение тестирования на проникновение и устойчивости к атакам. Оценка степени защищенности компьютерной системы обработки информации Банка.

Решение

Задача 1. Проведение аудита системы информационной безопасности Банка на основе методики, изложенной в стандарте СТБ 34.101.41. Этапы проведения аудита:

подготовка плана интервью, перечня запрашиваемой документации, ЛПА;
анализ полученных документов;
интервьюирование сотрудников Банка;
сбор свидетельств выполнения требований ЛПА, анализ и оценка по всем групповым показателям ИБ СТБ 34.101.41;
формирование итоговых оценок;
описание выявленных несоответствий и рекомендаций по их устранению;
разработка отчета.

Задача 2. Проведение тестирования на проникновение и устойчивости к атакам. Оценка степени защищенности компьютерной системы обработки информации Банка. Этапы выполнения работ:

обследование, тестирование по принципу «черного ящика»;
"Web-Assessment", тестирование под видом зарегистрированных пользователей;
анализ потенциальных слабых мест используемых протоколов, сервисов;
разработка отчета;

Результат

Задача 1. Отчет о результатах аудита информационной безопасности Банка, содержащий данные по результатам оценки, выявленные несоответствия и рекомендации по их устранению.

Задача 2. Отчет по проверке защищенности, содержащий перечисление фактических результатов выполненных проверок, оценку (ранжирование) выявленных проблем безопасности по шкале «критические – незначительные», перечень рекомендаций по решению выявленных проблем безопасности с указанием категории рекомендуемых мер.