Кибербезопасность в условиях электронного банкинга. Практическое пособие - Коллектив авторов

– выполнения каждого требования, относящегося к интерфейсу системы;

– работы персонала в диалоговом режиме;

– средств и методов восстановления работоспособности автоматизированной системы после отказов;

– комплектности и качества эксплуатационной документации.

Проверку полноты и качества выполнения функций СЭБ целесообразно осуществлять в два этапа:

– на первом этапе проводят испытания отдельных функций (задач, комплексов задач). При этом проверяется выполнение требований технического задания или описания постановки комплекса задач к функциям (задачам);

– на втором этапе проводят проверку взаимодействия задач в системе и выполнения требований описания комплекса задач к СЭБ в целом.

По согласованию с подразделением-заказчиком проверка задач в зависимости от их специфики может проводиться автономно или в составе комплекса задач. Объединение задач для проверки в составе комплекса целесообразно проводить с учетом общности используемой информации и внутренних связей.

Проверку работы персонала в диалоговом режиме проводят с учетом полноты и качества выполнения функций системы в целом.

Проверке подлежат:

– полнота сообщений, директив, запросов, доступных оператору, и их достаточность для эксплуатации системы;

– сложность процедур диалога, возможность работы персонала без специальной подготовки;

– реакция СЭБ и ее частей на ошибки оператора, средства сервисного обслуживания автоматизированных средств.

Проверка средств восстановления работоспособности СЭБ после отказов ЭВМ может включать проверку:

– наличия в эксплуатационной документации рекомендаций по восстановлению работоспособности и их полноты;

– практической выполнимости рекомендованных процедур;

– работоспособности средств автоматического восстановления функций (при их наличии).

Проверку комплектности и качества эксплуатационной документации следует проводить путем анализа документации на соответствие требованиям нормативно-технических документов и описания постановки комплекса задач.

Результаты предусмотренных программой испытаний объектов СЭБ могут фиксироваться в протоколах, содержащих следующие разделы:

– назначение испытаний;

– состав технических и программных средств, используемых при испытаниях;

– указание методик, в соответствии с которыми проводятся испытания, обработка и оценка результатов;

– условия проведения испытаний и характеристики исходных данных;

– обобщенные результаты испытаний;

– выводы о результатах испытаний и соответствии созданной системы или ее частей определенному разделу требований технического задания на разработку автоматизированной системы.

Протоколы испытаний объектов СЭБ по всей программе могут обобщаться в едином протоколе, на основании которого делают заключение о соответствии СЭБ требованиям описания постановки комплекса задач на создание СЭБ и о возможности оформления акта приемки СЭБ в постоянную эксплуатацию.

Протокол испытаний может содержать:

– наименование объекта испытаний;

– список должностных лиц, проводивших испытания;

– цель испытаний;

– сведения о продолжительности испытаний;

– перечень пунктов технического задания или описания постановки комплекса задач на создание СЭБ, на соответствие которым проведены испытания;

– перечень пунктов программы испытаний, по которым проведены испытания;

– сведения о результатах наблюдений за правильностью функционирования СЭБ;

– сведения об отказах, сбоях и аварийных ситуациях, возникающих при испытаниях СЭБ;

– сведения о корректировках параметров объекта испытания и технической документации.

Приемочные испытания завершаются оформлением акта о приемке СЭБ в эксплуатацию, который может содержать:

– наименование объекта в составе информационного контура СЭБ или всей СЭБ, принимаемой в эксплуатацию;

– сведения о статусе приемочной комиссии, ее составе и основание для работы;

– указание временного периода, в котором работала комиссия;

– наименования организации-разработчика, организации-соисполнителя и организации-заказчика или соответствующих подразделений кредитной организации;

– наименование документа, на основании которого разработана СЭБ;

– состав функций СЭБ (или ее части), принимаемой в эксплуатацию;

– перечень составляющих технического, программного, информационного и организационного обеспечения СЭБ, принимаемых в эксплуатацию;

– перечень документов, предъявляемых комиссии;

– заключение о результатах опытной эксплуатации СЭБ в случае ее осуществления;

– оценку соответствия принимаемой СЭБ техническому заданию на ее создание;

– краткую характеристику и основные результаты выполненной работы по созданию СЭБ;

– оценку экономической эффективности внедрения СЭБ (по проектным данным);

– решение комиссии;

– рекомендации комиссии по дальнейшему развитию СЭБ.

К акту приемки в эксплуатацию могут прилагаться: программа и протоколы испытаний, протоколы заседания комиссии, акты приемки в эксплуатацию принятых ранее частей СЭБ, перечень технических средств, которые использовала комиссия при приемке СЭБ. По усмотрению комиссии в приложение могут включаться дополнительные документы.

Для планирования проведения всех видов испытаний в кредитной организации должен быть разработан документ «Программа и методика испытаний», разработчиком которого является ответственное лицо из числа членов комитета по технологиям. Это основной документ, регламентирующий любые виды испытаний СЭБ. К разработке документа могут быть также привлечены подразделение – заказчик СЭБ, HT-подразделение и подразделение информационной безопасности. Данный документ может разрабатываться как на СЭБ в целом, так и на отдельный модуль СЭБ.

Программа и методика испытаний СЭБ предназначены для установления технических данных, подлежащих проверке при испытании компонентов СЭБ, а также порядка испытаний и методов их контроля. Документ должен устанавливать необходимый и достаточный объем испытаний, обеспечивающий заданную достоверность получаемых результатов, и содержать перечень конкретных проверок, которые следует осуществлять при испытаниях для подтверждения выполнения требований описания постановки комплекса задач, со ссылками на соответствующие методики (разделы методик) испытаний.

Перечень проверок (на этапе испытаний) включает проверки:

– соответствия СЭБ требованиям описания постановки комплекса задач;

– комплектности СЭБ;

– комплектности и качества документации на СЭБ;

– комплектности, достаточности состава и качества программных средств и программной документации;

– количества и квалификации персонала, обслуживающего СЭБ;

– степени выполнения требований к функциональному назначению СЭБ;

– пригодности СЭБ для осуществления контроля.

В общем случае программа испытаний может содержать следующие разделы:

– объект испытаний;

– цель испытаний;

– общие положения;

– объем испытаний;

– условия и порядок проведения испытаний;

– материально-техническое обеспечение испытаний;

– отчетность.

В документ также могут включаться приложения.

В зависимости от особенностей СЭБ отдельные разделы могут объединяться или исключаться при условии изложения их содержания в других разделах программы испытаний; также в нее могут включаться дополнительные разделы (при необходимости).

В разделе «Объект испытаний» могут указываться:

– полное наименование системы и ее условное обозначение;

– комплектность испытательной системы.

В разделе «Цель испытаний» указываются конкретные цели, которые должны быть достигнуты, и задачи, которые должны быть решены в процессе испытаний.

В разделе «Общие положения» указываются:

– перечень руководящих документов, на основании которых проводятся испытания;

– место и продолжительность испытаний;

– организации, участвующие в испытаниях;

– перечень ранее проведенных испытаний;

– перечень предъявляемых на испытания документов, откорректированных по результатам ранее проведенных испытаний.

В разделе «Объем испытаний» указываются:

– перечень этапов испытаний и проверок, а также количественные и качественные характеристики, подлежащие оценке;

– последовательность проведения и режим испытаний;

– требования к испытаниям программных средств СЭБ;

– перечень работ, проводимых после завершения испытаний, требования к ним, объем и порядок проведения.

В разделе «Условия и порядок проведения испытаний» указываются:

– условия проведения испытаний;

– условия начала и завершения отдельных этапов испытаний;

– имеющиеся ограничения в условиях проведения испытаний;

– требования к техническому обслуживанию системы;

– порядок взаимодействия подразделений и внешних организаций – контрагентов кредитной организации, участвующих в испытаниях;

– порядок привлечения экспертов для исследования возможных нарушений целостности данных, антивирусной защиты и т. д. в процессе проведения испытаний;

– требования к персоналу кредитной организации, проводящему испытания, и порядок его допуска к испытаниям с использованием действующей информационной базы данных.

В разделе «Материально-техническое обеспечение испытаний» указываются конкретные виды материально-технического обеспечения с распределением задач и обязанностей подразделений и организаций – контрагентов кредитной организации, участвующих в испытаниях.

В разделе «Отчетность» приводят перечень отчетных документов, которые должны оформляться как в процессе проведения испытаний, так и по их завершении, с указанием подразделений кредитной организации, разрабатывающих и согласующих сроки оформления этих документов. К отчетным документам могут относиться акт и отчет о результатах испытаний.

В приложения могут включаться перечень методик испытаний,