ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ И КИБЕРУСТОЙЧИВОСТИ ПРИКЛАДНОГО ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ

Для контроля отсутствия уязвимостей в программном обеспечении, в том числе связанных с недостатками программирования, позволяющими совершать результативные компьютерные атаки, необходимо создать организационные и технические условия проведения финансовыми организациями анализа уязвимостей прикладного программного обеспечения, используемого для осуществления перевода денежных средств (или совершения иных финансовых операций (транзакций), а также определения, какое программное обеспечение должно быть подвергнуто анализу.

В качестве методологической основы безопасности программного обеспечения следует выделить:

- разрабатываемый в настоящее время Банком России профиль защиты для оценки уязвимостей в банковских приложениях, применяемых для переводов денежных средств, включая требования по анализу уязвимостей и контролю недекларированных возможностей, в методологии Национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15 408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности", утвержденного приказом Федерального агентства по техническому регулированию и метрологии от 08.11.2013 N 1340-ст "Об утверждении национального стандарта";

- использование системы сертификации ФСТЭК России (испытательных лабораторий и органов по сертификации) для проведения работ по контролю качества программного обеспечения, распространяемого кредитной организацией, некредитной финансовой организацией среди своих клиентов для совершения действий в целях осуществления финансовых операций, и анализу его уязвимостей на основе положений профиля защиты;

- создание экосистемы для проведения работ по анализу защищенности информационной инфраструктуры, используемой для осуществления переводов денежных средств, состоящей из организаций, обладающих необходимой компетенцией, и разработчиков.

Целевыми индикаторами являются:

- нормативное закрепление системы сертификации ФСТЭК России для проведения работ по контролю качества программного обеспечения;

- разработка профиля защиты;

- формирование экосистемы для проведения работ по анализу защищенности информационной инфраструктуры.