Кибербезопасность в условиях электронного банкинга. Практическое пособие - Коллектив авторов

обязанностей между отдельными структурными подразделениями или сотрудниками, задействованными в разработке (приобретении) и эксплуатации СЭБ.

План разработки (приобретения) СЭБ должен представлять собой общий документ, содержащий описание основных процедур, распределение сроков исполнения и ответственности.

Проект плана разработки (приобретения) СЭБ обсуждается членами комитета по технологиям, по результатам обсуждения в план вносятся необходимые корректировки, он одобряется комитетом по технологиям и утверждается куратором по ИТ.

Общий план разработки (приобретения) СЭБ должен доводиться до руководителей всех задействованных в плане подразделений и соответствующих специалистов данных подразделений.

В связи с тем что разработка (приобретение отдельных модулей) СЭБ представляет собой сложный многозадачный последовательный процесс, требующий согласованности с существующими бизнес-процессами в кредитной организации, архитектурой ее внутренних распределенных автоматизированных систем, целесообразным является включение в план пунктов, описывающих отчетные или контрольные мероприятия.

Включение таких контрольных точек позволит руководству кредитной организации, СВК и другим заинтересованным подразделениям контролировать исполнение плана и при необходимости своевременно вносить изменения в те или иные мероприятия.

Контрольные точки следует включать в план таким образом, чтобы они позволяли выделять и объединять функционально и технологически связанные между собой виды работ в группы, поддающиеся автономному анализу или тестированию с целью контроля качества их исполнения.

Например, включение в план непосредственно разработки СЭБ позволит осуществлять тестирование отдельных модулей программного обеспечения и комплексов аппаратного обеспечения значительно раньше этапа контрольных испытаний СЭБ, что даст возможность выявить часть источников рисков, заложенных на первоначальных этапах, и вовремя устранить их.

Немаловажным является детальное распределение ответственности за исполнение плана работ. Такое распределение ответственности может фиксироваться в плане работ, в отдельном документе либо в совокупности распорядительных документов.

Подготовка распределения ответственности возлагается на комитет по технологиям. При подготовке должны учитываться функции задействованных подразделений и обязанности их сотрудников, отраженные во внутренних документах кредитной организации, текущие планы деятельности данных подразделений и другие факторы, влияющие на текущую деятельность подразделений.

Распределение должно включать в себя в том числе перечень подразделений или сотрудников кредитной организации, ответственных:

– за разработку описания комплекса требований (бизнес-требований) к программному обеспечению в рамках СЭБ;

– разработку технопроектной документации к программному и аппаратному обеспечению СЭБ;

– разработку технорабочей документации к программному и аппаратному обеспечению СЭБ;

– разработку программного обеспечения в рамках СЭБ;

– проведение конъюнктурного анализа и приобретение у сторонних организаций-разработчиков программного обеспечения в рамках СЭБ;

– организацию и проведение контрольных испытаний, периодического тестирования, мониторинг возникающих ошибок и сбоев СЭБ;

– сопровождение СЭБ.

Все перечисленные мероприятия являются основой для оценки качества организации этапа планирования реализации СЭБ службами внутреннего аудита и контроля. При этом основными и минимально необходимыми являются следующие вопросы:

– утвержден ли план разработки, внедрения и эксплуатации новой СЭБ?

– утверждены ли приказ, распоряжение или иной документ «Распределение ответственности по проекту»?

– определены ли ответственные за разработку описания комплекса требований (бизнес-требований) к программному обеспечению системы?

– определены ли ответственные за разработку технорабочей документации к программному обеспечению в рамках СЭБ?

– определены ли ответственные за разработку программного обеспечения СЭБ?

– определены ли ответственные за проведение конъюнктурного анализа и приобретение у сторонних организаций-разработчиков программного обеспечения в рамках СЭБ?

– определены ли ответственные за организацию и проведение контрольных испытаний, периодического тестирования, мониторинг возникающих ошибок и сбоев СЭБ?

– определены ли ответственные за сопровождение СЭБ?

7.2.4. Организация (адаптация) процедур внутреннего аудита и контроля на этапе проектирования системы электронного банкинга

Данный этап предусматривает работы, связанные непосредственно с проектированием СЭБ. Они заключаются по большей части в разработке проектной документации, содержащей основные взаимоувязанные проектные решения по системе в целом, ее функциям и всем видам обеспечения СЭБ, достаточные для разработки, наладки и функционирования СЭБ, ее проверки и обеспечения работоспособности.

Учитывая, что СЭБ представляет собой сложное в организационном и технологическом плане решение, значительное внимание следует уделять качеству организации ее документарного обеспечения и качеству самих документов.

Одним из аспектов является систематизация документарной базы, обусловленная потребностью вносить изменения в документы по мере развития системы с учетом их взаимосвязи. В противном случае внесение изменений в отдельные документы может привести к возникновению противоречий с положениями, отраженными в других документах.

В целях систематизации документарного обеспечения СЭБ должен быть разработан перечень необходимой проектной и рабочей документации[126] на СЭБ. Перечень проектной документации утверждается одним из руководителей кредитной организации, курирующим вопросы применения информационных технологий (куратором по ИТ).

К разрабатываемой проектной документации могут относиться следующие документы.

1. Описание постановки комплекса задач или иной подобный документ. Представляет собой комплекс задач или совокупность технических заданий на разработку комплекса программных и аппаратных средств, составляющих информационный контур СЭБ.

Описание постановки комплекса задач может включать в себя:

– информацию об основании разработки СЭБ: указываются документ (документы), на основе которого планируется разработка, а также орган или ответственное лицо кредитной организации, утвердившие данный документ;

– информацию о функциональном назначении будущей системы или модуля СЭБ;

– в основной части документа – требования к системе или модулю СЭБ. Наиболее детально должны быть описаны требования к функциональным характеристикам системы и ее модулей. Подлежат описанию все бизнес-процедуры, связанные с обслуживанием клиентов и соответствующими внутрибанковскими процессами по обработке информации, поступившей от клиентов, и информации задействованных подразделений и функциональных узлов кредитной организации;

– условия эксплуатации СЭБ (кратко), в том числе количество клиентов, которое предполагается подключить к работе с СЭБ на момент ввода ее в эксплуатацию, а также с учетом динамики развития кредитной организации. Должны быть оговорены количество пользователей внутри кредитной организации, периоды функционирования, периоды технического обслуживания и т. д.;

– дополнительно – требования к техническим характеристикам аппаратных средств, совместимости с программным обеспечением, использующимся в деятельности кредитной организации, и т. д.

Описание постановки комплекса задач – основной проектный документ СЭБ, отражающий требования к информационному и функциональному контурам с точки зрения различных аспектов. Данный документ является связующим в комплексе проектной документации: на его основе при необходимости подготавливаются частные технические задания и требования к отдельным элементам информационного контура.

В подготовке описания постановки комплекса задач должны быть задействованы специалисты подразделения – заказчика СЭБ, а также ряд представителей других подразделений, к компетенции которых относятся соответствующие вопросы.

2. Описание системы защиты или иной подобный документ. По содержанию данный документ является частным техническим заданием СЭБ на реализацию процедур и средств информационной безопасности в рамках информационного контура.

Документ должен содержать:

– перечень критически важной информации, обрабатываемой и генерируемой в среде СЭБ;

– перечень технических средств обеспечения информационной безопасности информационного контура СЭБ;

– описание организационных процедур обеспечения информационной безопасности;

– описание технологических средств и систем защиты и обеспечения целостности информации, варианты их сопряжения и функционирования в информационном контуре СЭБ;

– механизм организации парольной защиты, администрирования и систематизации данной работы;

– механизм реализации антивирусной защиты СЭБ.

Приложением к данному документу могут выступать:

– детальное распределение прав и обязанностей внутрибанковских пользователей СЭБ;

– описание их ролей с функциональной точки зрения и прав «владения» определенными массивами информации.

3. Альбом выходных форм или иной подобный документ. Это частный документ, связанный с описанием постановки комплекса задач и содержащий описание всех диалоговых окон и выходных форм СЭБ, доступных как для клиентов кредитной