В Украине внедрена обновленная государственная методология оценки состояния кибербезопасности, которая напрямую повлияет на правила внутреннего аудита и отчетности организаций. Подробности читайте в материале "Как проводят оценку состояния киберзащиты".
Если Вы не наш клиент - начните свою работу с LIGA360 уже сегодня - Ligazakon.net
Нормативы распространяются на государственные органы, местное самоуправление, операторов критической инфраструктуры и компании, работающие с государственными ресурсами или конфиденциальной информацией.
Для большинства компаний первым шагом станет процедура самооценки, которая носит рекомендательный характер и помогает выявить слабые места в инфраструктуре. Владельцы систем могут производить ее силами собственных ИТ-подразделений или привлекать внешних сертифицированных аудиторов или ФЛП. В ходе проверки подробно анализируется состояние внедрения мер безопасности по шести ключевым функциям: управление, идентификация, обеспечение защиты, выявление угроз, реагирование и восстановление после инцидентов.
Новые правила исключают возможность формальных проверок благодаря четким математическим критериям. Каждая мера безопасности оценивается по шкале от «положительно» (коэффициент 1,0) за полное исполнение до «отрицательно» (коэффициент 0). При этом законодательно обязательные базовые меры защиты имеют двойной вес при подсчете соответствия. Также введен жесткий «принцип критического звена»: если хотя бы по одной из жизненно важных функций показатель соответствия упадет ниже 20%, все общее состояние киберзащиты организации автоматически признается «критическим».
Оценка предполагает обязательное использование четырех методов: изучение внутренних регламентов и конфигураций систем, опрос и анкетирование работников на знание кибергигиены, практическое тестирование работоспособности средств защиты и анализ собранных сведений. В частности, проверяется наличие планов киберзащиты, регулярность обучения персонала и надежность хранения резервных копий в географически разных местах или офлайн.
Результаты проверки оформляются в финальный Отчет о результатах оценки состояния киберзащиты, состоящий из трех разделов: общих сведений, обобщенных количественных показателей и плана действий по улучшению безопасности. Отчет обязательно подписывают лица, проводившие проверку, и утверждает руководитель организации. Для бизнеса и финансовых служащих соблюдение этих стандартов станет надежной защитой от операционных сбоев и юридических рисков при возникновении непредвиденных кибератак.
