Правилами определено, что мероприятия по оценке – это комплекс организационных, управленческих и технических мероприятий, направленных на моделирование угроз кибербезопасности, отработку действий по реагированию на инциденты информационной безопасности в финансовой сфере, в том числе кибербезопасности, и восстановлению функционирования критичных информационных активов.
Финансовые организации проводят следующие мероприятия по оценке:
- документальные мероприятия по оценке;
- функциональные мероприятия по оценке;
- технические имитационные мероприятия по оценке.
Документальные мероприятия по оценке проводятся в форме моделирования угроз кибербезопасности без воздействия на критичные информационные активы.
В ходе документальных мероприятий по оценке отрабатываются управленческие решения, процедуры реагирования и взаимодействие подразделений финансовой организации.
Функциональные мероприятия по оценке проводятся с участием структурных подразделений финансовой организации, задействованных в реагировании на инциденты информационной безопасности в финансовой сфере, в том числе кибербезопасности.
В ходе функциональных мероприятий по оценке проверяется координация действий структурных подразделений финансовой организации и выполнение требований внутренних документов, регламентирующих порядок реагирования на инциденты информационной безопасности.
Технические имитационные мероприятия по оценке предусматривают моделирование инцидентов информационной безопасности с использованием технических средств в контролируемой среде, не используемой для выполнения текущих операций финансовой организации.
Финансовые организации проводят мероприятия по оценке на регулярной основе не реже одного раза в календарный год.
Внеплановые мероприятия по оценке проводятся финансовой организацией при возникновении новых угроз кибербезопасности, отнесенных к высокому или критическому уровню риска, при существенных изменениях в цифровой инфраструктуре финорганизации, способных повлиять на функционирование критичных информационных активов, непрерывность деятельности финансовой организации, либо по результатам внутренней оценки рисков.
Помимо этого, внеплановые мероприятия по оценке проводятся по рекомендации уполномоченного органа в случаях выявления повышенных рисков или существенных недостатков в системе управления информационной безопасности.
По каждому мероприятию разрабатывается план, включающий:
- вид мероприятия по оценке;
- описание сценария;
- перечень задействованных структурных подразделений финансовых организаций;
- порядок проведения мероприятия по оценке;
- критерии оценки результатов проведения мероприятия по оценке.
План утверждается уполномоченным должностным лицом финансовой организации по согласованию с уполномоченным органом.
В ходе проведения мероприятия по оценке обеспечивается обязательное документирование действий участников, принятых решений и выявленных недостатков.
Финансовая организация фиксирует временные показатели реагирования, включая время обнаружения инцидента информационной безопасности и время восстановления, а также иные показатели, предусмотренные планом.
Уполномоченный орган может участвовать в мероприятиях в качестве:
- наблюдателя – без вмешательства в ход мероприятия по оценке;
- соорганизатора – при совместной подготовке и проведении мероприятия по оценке.
По результатам проведенных мероприятий финансовая организация формирует и утверждает документ, включающий следующие сведения:
- описание вида мероприятия по оценке и его сценария;
- перечень задействованных структурных подразделений;
- основные этапы проведения;
- достигнутые результаты, выявленные недостатки и оценку влияния выявленных недостатков на уровень рисков информационной безопасности финансовой организации;
- оценку показателей реагирования;
- корректирующие мероприятия и сроки их реализации, сведения об их исполнении, а в случае неисполнения в установленный срок – причины неисполнения, принятые меры и срок исполнения.
Информация по результатам мероприятия по оценке представляется в уполномоченный орган в срок не более 10 рабочих дней после его завершения посредством автоматизированной системы, предназначенной для обработки информации о событиях и инцидентах информационной безопасности.
Постановление вводится в действие по истечении 10 календарных дней после дня его первого официального опубликования.