25 февраля, четверг 08:17
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Самооценка по СТО обязательна?

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Самооценка по СТО обязательна?

    Добрый день!
    Подскажите, самооценка по СТО БР обязательна? В декабре планировалось проведение, но в связи с подготовкой новых проектов СТО БР ИББС-1.0 и СТО БР ИББС-1.2 возник вопрос а надо ли торопиться. Но тут возникает вопрос - в случае отсутствия сведений от ЦБ штрафные санкции могут быть?

  • #2
    Вообще, банк принимает СТО БР, как руководство к действию, на добровольной основе. Но если вы решили действовать согласно СТО БР, то должны известить об этом ЦБ и тогда проведение самооценки становится обязательным и провести ее нужно в заданные сроки. В СТО БР про это написано. Почитайте внимательно.
    Ждать новой редакции СТО БР не рекомендую, лучше сейчас провести работы по приведению ИБ банка к существующей редакции. Не думаю, что в новой редакции что-то поменяется кардинально. Тем более что основные изменения уже известны и обсуждаются.

    Комментарий


    • #3
      Sat_Kelman, Новые только готовятся, и могут готовиться еще лет 10. Старые еще действуют.
      Самооценка обязательна, если вы приняли СТО БР приказом. Если не приняли, то можете не проводить

      Комментарий


      • #4
        Сообщение от Sascha Посмотреть сообщение
        Sat_Kelman, Новые только готовятся, и могут готовиться еще лет 10. Старые еще действуют.
        Самооценка обязательна, если вы приняли СТО БР приказом. Если не приняли, то можете не проводить
        ну почему именно Самооценка.. можно и без нее... Проведите аудит на соответствие СТО БР ИББС внешней организацией из числа http://www.abiss.ru/membership/registries/auditors.php
        Мы продолжаем делать то, что мы уже много наделали

        Комментарий


        • #5
          Сообщение от Andrew21 Посмотреть сообщение
          Не думаю, что в новой редакции что-то поменяется кардинально
          Вот как раз в самооценке довольно большие изменения. Делать гору работу дважды не хочется.

          Комментарий


          • #6
            George-on-Don, Внешний аудит нужен в конце работы по приведению в соответствие. А регулярное проведение самооценки предусмотрено стандартом и если он принят банком как основополагающий, то ее проводить надо в обязательном порядке.

            Комментарий


            • #7
              Сообщение от Sascha Посмотреть сообщение
              George-on-Don, Внешний аудит нужен в конце работы по приведению в соответствие. А регулярное проведение самооценки предусмотрено стандартом и если он принят банком как основополагающий, то ее проводить надо в обязательном порядке.
              если речь идет о самооценке по письму "трех" то там написано п .4. Провести оценку соответствия организации БС РФ требованиям стандарта Банка России СТО БР ИББС-1.0. Оценку соответствия рекомендуется поручать организациям, имеющим опыт проведения аудита информационной безопасности и оценки соответствия требованиям стандарта Банка России СТО
              БР ИББС-1.0. В случае невозможности проведения оценки соответствия организации БС РФ требованиям стандарта Банка России СТО БР ИББС-1.0
              силами сторонней организации, организацией собственными силами проводится самооценка соответствия требованиям стандарта Банка России СТО БР ИББС-1.0
              5. Выпустить документ о подтверждении соответствия организации БС РФ требованиям стандарта Банка России СТО БР ИББС-1.0 с указанием
              соответствия в целом и по направлениям Регуляторов - Роскомнадзора, ФСБ России и ФСТЭКРоссии (в пределах их полномочий).
              6. По готовности, но не позже 31 декабря 2010 года направить этот документ в адрес Банка России и территориальных органов Регуляторов. В3
              дальнейшем направлять этот документ в Банк России и Регуляторам один раз в три года.

              так что вполне можно и силами сторонней организации... если деньги есть..
              а другой обязательности самооценки по СТО БР ИББС в документах ЦБ нет...
              Последний раз редактировалось George-on-Don; 23.08.2013, 15:17.
              Мы продолжаем делать то, что мы уже много наделали

              Комментарий


              • #8
                Сообщение от Sat_Kelman Посмотреть сообщение
                Вот как раз в самооценке довольно большие изменения. Делать гору работу дважды не хочется.
                Самооценка - это выставление оценки по заранее известным критериям, которым банк уже должен соответствовать. Вы думаете суть критериев измениться? Возможно измениться их количество и формулировки. Но наличие документирования ИБ они не отменят. А по моим данным именно документирование вызывает трудности и занимает основную часть времени. Это касается и СТО БР и 382-П.

                Комментарий


                • #9
                  Сообщение от Andrew21 Посмотреть сообщение
                  Самооценка - это выставление оценки по заранее известным критериям, которым банк уже должен соответствовать. Вы думаете суть критериев измениться? Возможно измениться их количество и формулировки. Но наличие документирования ИБ они не отменят. А по моим данным именно документирование вызывает трудности и занимает основную часть времени. Это касается и СТО БР и 382-П.
                  да... самооценку нужно подтверждать с определенной периодичностью... так что по-любому... проделывать ГОРУ работы придется и дважды и трижды и четырежды... вне зависимости от редакции вопросника)))
                  Мы продолжаем делать то, что мы уже много наделали

                  Комментарий


                  • #10
                    Добрый день всем.
                    Не стал новую тему открывать. Не может ли кто-нибудь подсказать, каким образом банк должен представить в ЦБ РФ информацию о принятом решении о введении комплекса БР ИББС? Что нужно отправить? А вообще проблема вот какого плана.
                    На сайте ЦБ РФ банк оказался в списке организации решивших принять Комплекс БР ИББС. Как он туда попал никому непонятно. Вероятно это было достаточно давно и много сотрудников сменилось. Где об этом концы искать? Неужели звонить в ЦБ?
                    А ведь от даты решения зависит срок проведения оценки соответствия.

                    Комментарий


                    • #11
                      Sergeev, Вообще он вводится приказом по банку. Ищите в реестре приказов что-то похожее.

                      Комментарий


                      • #12
                        Сообщение от Sergeev Посмотреть сообщение
                        Добрый день всем.
                        Не стал новую тему открывать. Не может ли кто-нибудь подсказать, каким образом банк должен представить в ЦБ РФ информацию о принятом решении о введении комплекса БР ИББС? Что нужно отправить? А вообще проблема вот какого плана.
                        На сайте ЦБ РФ банк оказался в списке организации решивших принять Комплекс БР ИББС. Как он туда попал никому непонятно. Вероятно это было достаточно давно и много сотрудников сменилось. Где об этом концы искать? Неужели звонить в ЦБ?
                        А ведь от даты решения зависит срок проведения оценки соответствия.
                        Банк должен был написать письмо своему ТУ ЦБ РФ о принятии СТО БР ИББС в качестве обязательного .. в письме должны были указать дату и номер приказа по банку, которым и должен был быть принят СТО БР ИББС в качестве обязательного... так что следы ищите у себя в Банке , в письмах в ТУ ЦБ РФ и в приказах... а вообще у ИБ должны хранится как минимум копии всего этого "добра", относящегося к ИБ или затрагивающего деятельность ИБ.. писем , приказов, распоряжений
                        Мы продолжаем делать то, что мы уже много наделали

                        Комментарий

                        Обработка...
                        X