10. Стадия эксплуатации

10.1. Основными задачами на стадии эксплуатации в части обеспечения ИБ являются:

- контроль состава, мест размещения и параметров настроек технических защитных мер;

- контроль выполнения правил эксплуатации технических защитных мер, включая правила обновления и управления;

- контроль выполнения регламентов реализации организационных защитных мер;

- контроль реализации мер, принимаемых для обеспечения целостности специализированных банковских приложений и обеспечивающих компонентов АБС, передаваемых на сторону клиента, а также доведения до клиентов необходимых документов, входящих в состав эксплуатационной документации;

- контроль соблюдения требований к кадровому обеспечению подсистемы ИБ АБС;

- контроль выполнения организационных мероприятий, необходимых для обеспечения эксплуатации подсистемы ИБ АБС, в том числе мероприятий по назначению ролей эксплуатационного персонала, обучению, информированию и повышению осведомленности эксплуатационного персонала и пользователей;

- контроль готовности эксплуатационного персонала к эксплуатации подсистемы ИБ АБС;

- контроль информирования пользователей о правилах эксплуатации подсистемы ИБ АБС;

- периодическая оценка защищенности АБС (проведение мероприятий по выявлению типичных уязвимостей программных компонентов АБС, тестирование на проникновение);

- мониторинг сообщений об уязвимостях АБС и реагирование на них.

Рекомендации к проведению контроля параметров настроек технических защитных мер (выявление ошибок конфигурации) приведены в приложении 4 к настоящему документу.

10.2. Периодичность проведения работ по оценке защищенности определяется решением организации БС РФ. Для АБС, используемых для реализации банковского платежного технологического процесса, рекомендуется проведение комплексной оценки защищенности не реже одного раза в год.

10.3. Сообщения об уязвимостях программного обеспечения могут быть получены из различных источников, таких как:

- уведомления, публикуемые центрами реагирования на компьютерные инциденты (например, уведомления CERT [2]), платежными системами (например, уведомления платежной системы VISA [3]), производителями технических и программных средств (например, уведомления компании ORACLE [4]);

- уведомления, публикуемые в общедоступных базах данных уязвимостей, а также распространяемые по подписке;

- сообщения об уязвимостях в АБС, направляемые сторонними специалистами в адрес организации БС РФ или публикуемые ими в общедоступных источниках, для чего рекомендуется предусматривать способы оперативной связи с соответствующими специалистами организацией БС РФ.

10.4. Рекомендуется организовать выполнение деятельности по:

- идентификации АБС, компонентом которых является программное обеспечение с выявленными уязвимостями;

- определению степени критичности выявленных уязвимостей для реализации банковских технологических процессов организации БС РФ;

- принятию решений об устранении уязвимости в рамках мероприятий по сопровождению и модернизации АБС в случае ее подтверждения.