Новое решение по автоматизации оценки соответствия ИБ требованиям СТО БР ИББС-1.0 - часть 2.

<< начало.
После довольно плотного тестирования новой системы "ISM Revision: Audit Manager" от компании ISM SYSTEMS впечатления у меня остались вполне положительные, а местами система просто порадовала - она буквально вобрала в себя все лучшее, что есть у аналогов, и значительно дополнила общий функционал, а именно:

• В системе впервые реализована раздельная оценка частных показателей в рамках групповых показателей М1-М6 по следующим направлениям:
• банковский платежный технологический процесс;
• банковский информационный технологический процесс;
• банковский технологический процесс, в рамках которого обрабатываются персональные данные.

Не смотря на то, что это требование давно присутствует в Стандарте (п. 7.4. СТО БР ИББС-1.2) и этому официально учат аудиторов на курсах в АИС, но до настоящего момента ни одно из средств автоматизации оценки соответствия не позволяло это делать, и реально мало кто из аудиторов делал это.

Диаграммы, кстати, тоже строятся отдельные по этим трем направлениям:



Рис. 1. Круговые диаграммы

• В системе довольно объективно реализован учет уточняющих вопросов по персональным данным Приложения "В" СТО БР ИББС-1.2-2010. Во-первых, порадовало то, что в системе реализована оценка самих уточняющих вопросов (чего нет в BSAT и ExactFlow) со сбором свидетельств и обоснование выставленных оценок. Во-вторых, наряду с отображением списка уточняющих вопросов по частным показателям (чем собственно и ограничивается функционал ExactFlow и BSAT) система автоматически рассчитывает рекомендуемую оценку частных показателей на основе списка соответствующих ему уточняющих вопросов, которая предлагается аудитору как рекомендованная при выставлении итоговой оценки по частному показателю по направлению банковского технологического процесса, в рамках которого обрабатываются персональные данные. При этом по сравнению с Estimate Tool в данной системе реализован более правильный расчет оценки частных показателей на основе списка уточняющих вопросов (я бы сказал, что данный расчет производится в  соответствии с разделом 10 и Таблицей 7 СТО БР ИББС-1.2), в то время как в Estimate Tool оценка частного показателя несколько занижается, так как определяется по наименьшей оценке уточняющих вопросов из списка для данного частного показателя.



Рис. 2. - Оценка частных показателей ИБ

• Оценка всех частных показателей ИБ и уточняющих вопросов к ним разбита на две составляющие: "документирование" и "выполнение" (см. рис. 2), что с практической точки зрение гораздо более удобнее и понятнее при оценивании частных показателей ИБ (идея видимо подсмотрена с BSAT - там впервые было реализовано подобное разбиение оценок).
• По всем частным показателям ИБ и уточняющим вопросам возможно внесение обоснования выставления оценок и прикрепление свидетельств аудита, что все-таки является большим плюсом для таких система, поскольку позволяет в большей степени обеспечить повторяемость результатов оценки, чем при отсутствии фиксации свидетельств и обоснований выставления оценок (это есть в системах ExactFlow и Estimate Tool, но нет в BSAT).
• Довольно неплохо в системе реализованы выгрузки итоговых документов. Так, помимо стандартного Приложения "А" СТО БР ИББС-1.2-2010 (на котором, например, в BSAT выгрузки и заканчиваются), здесь реализованы довольно интересные и на мой взгляд удобные выгрузки обоснований выставленных оценок по каждому частному показателю (см. рис. 3) - по сравнению с реализацией этого функционала в той же системе ExactFlow от ПАЦИФИКИ, обоснования значительно проще забивать в систему и практически по нажатию одной кнопки формируется общая выгрузка по всем частным показателям ИБ (в ExactFlow, например, обоснование по каждому частному показателю, а их более 300-т,  выгружается в отдельные документы, которые в дальнейшем очень проблематично анализировать и обрабатывать). При этом все выгрузки, как по Приложению А, так и по обоснованиям, формируются в разрезе банковских платежных, информационных процессов и процессов с ПДн - этот момент тоже приятно порадовал. Однако при этом  не понятно, почему нет выгрузок оценок и обоснований по уточняющим вопросам Приложения "В" СТО БР ИББС-1.2, ведь эти данные в системе есть и они учитываются в процессе оценки (справедливости ради скажу, что в других решениях этого функционала также нет)- возможно ее просто не успели доделать.

Рис. 3. Обоснование выставленных оценок по частным показателям ИБ

Конечно наряду с плюсами есть и некоторые недочеты этой системы (например, тоже отсутствие выгрузок по уточняющим вопросам по ПДн), но то новое, что привнесено разработчиками в этой системе (в плане как соответствия требования СТО БР ИББС-1.2, так и удобства процесса оценки соответствия) позволяет довольно высоко оценить ее в сравнении с существующими на рынке аналогами, а в совокупности с ценовой политикой разработчиков системы она становится особенно привлекательной для использования при оценке соответствия требованиям ИБ организаций БС РФ.