IT-Security Step-by-step

"National Industrial Security Program Operating Manual (NISPOM)" — DoD 5220.22-M

🔹 Що описує стандарт

🔹 Класичний метод DoD 5220.22-M (3-pass wipe)

1. Перший прохід: записує випадкові або фіксовані символи (наприклад, 00000000);
   
2. Другий прохід: записує протилежні біти (наприклад, 11111111);
   
3. Третій прохід: записує випадкові символи та верифікує, що дані знищено.
   

🔹 Навіщо це потрібно в політиках ІБ

🔹 Приклад формулювання

“Видалення даних держателів платіжних карток здійснюється із застосуванням методів безпечного знищення, що відповідають вимогам стандарту DoD 5220.22-M або еквівалентним сучасним методам (наприклад, NIST SP 800-88 Rev.2 ‘Guidelines for Media Sanitization’).”
 → NIST SP 800-88 Rev. 2 Guidelines for Media Sanitization
 → NISP Operating Manual (DoD 5220.22-M)

1. Визначення переліку інформаційних активів:
   
   • Ідентифікуйте всі інформаційні активи організації, які потрібно захистити. До них можуть належати апаратне забезпечення, програмне забезпечення, дані, мережі, інтелектуальна власність, документи та люди.
   • Посилання на документ: ISO 27001:2022, A.8.1.1 Inventory of assets.
2. Категоризація та класифікація активів:
   
   • Визначте категорії активів (наприклад, конфіденційні дані, публічні дані) та їхній рівень важливості для організації.
   • Посилання на документ: ISO 27001:2022, A.8.2.1 Classification of information.
3. Призначення власників активів:
   
   • Призначте відповідальних осіб за кожний актив, які будуть відповідати за управління та захист активів.
   • Посилання на документ: ISO 27001:2022, A.8.1.2 Ownership of assets.
4. Реєстрація активів:
   
   • Створіть централізований реєстр активів, в якому будуть зберігатися всі дані про інформаційні активи, їхні власники, місце розташування, статус та інші характеристики.
   • Посилання на документ: ISO 27001:2022, A.8.1.3 Acceptable use of assets.
5. Оцінка ризиків, пов'язаних з активами:
   
   • Проведіть оцінку ризиків для кожного активу, щоб визначити можливі загрози, вразливості та потенційні наслідки для організації.
   • Посилання на документ: ISO 27001:2022, A.8.2 Information security risk assessment.
6. Моніторинг та ревізія активів:
   
   • Регулярно перевіряйте та оновлюйте інформацію про активи для забезпечення їх актуальності та відповідності політикам безпеки.
   • Посилання на документ: ISO 27001:2022, A.8.1.4 Return of assets.
7. Розробка політик захисту активів:
   
   • Розробіть та впровадьте політики та процедури для захисту активів відповідно до їхньої класифікації та ризиків, які їм загрожують.
   • Посилання на документ: ISO 27001:2022, A.5.1 Policies for information security.

Національний банк України (НБУ) видав ряд нормативних актів, які регулюють питання захисту платіжних систем і фінансових даних. Ці акти встановлюють вимоги до інформаційної безпеки, включаючи дотримання міжнародних стандартів, таких як PCI DSS. Нижче наведено основні накази і рішення НБУ, що стосуються цього питання:

1. Постанова НБУ №95 "Про затвердження Положення про здійснення захисту інформації та кібербезпеки в банківській системі України"

• Дата прийняття: 28 вересня 2022 року
• Опис: Ця постанова встановлює вимоги до забезпечення інформаційної безпеки та кібербезпеки в банківській системі України. Вона регулює порядок захисту інформації, яка обробляється в банках і фінансових установах, включаючи захист платіжних даних. Постанова зобов'язує банки впроваджувати системи управління інформаційною безпекою, відповідати міжнародним стандартам (включаючи PCI DSS), а також забезпечувати кіберзахист своїх інформаційних систем.

2. Постанова НБУ №75 "Про затвердження Положення про захист інформації та кібербезпеки в платіжних системах"

• Дата прийняття: 21 червня 2019 року
• Опис: Ця постанова регламентує вимоги до захисту інформації в платіжних системах, а також визначає правила захисту фінансових даних, які обробляються в цих системах. Положення зобов’язує операторів платіжних систем, платіжних інфраструктурних сервісів, а також їхніх учасників дотримуватися вимог до безпеки даних, включаючи стандарти PCI DSS.

3. Постанова НБУ №56 "Про організацію захисту інформації в банках України"

• Дата прийняття: 14 липня 2006 року (з подальшими змінами)
• Опис: Постанова регулює загальні питання організації захисту інформації в банках України. Вона включає вимоги до створення систем захисту інформації, управління ризиками, моніторингу та аудиту безпеки, а також захисту фінансових даних, що обробляються банками.

4. Постанова НБУ №391 "Про затвердження Положення про здійснення нагляду (оверсайта) за платіжними системами"

• Дата прийняття: 30 жовтня 2018 року
• Опис: Цей документ регламентує порядок нагляду за платіжними системами та їхніми учасниками з боку НБУ. Постанова встановлює вимоги до дотримання стандартів безпеки, зокрема щодо захисту інформації та забезпечення кібербезпеки в платіжних системах.

5. Рішення НБУ щодо підвищення стандартів кібербезпеки в банківській системі України

• Опис: НБУ регулярно приймає рішення, спрямовані на підвищення рівня кібербезпеки в банківському секторі. В рамках цих рішень банки зобов'язані впроваджувати новітні технології захисту інформації, посилювати контроль за доступом до платіжних систем, а також регулярно проводити аудит безпеки.

6. Листи та роз'яснення НБУ щодо дотримання стандартів інформаційної безпеки

• Опис: НБУ періодично надсилає листи та роз'яснення щодо необхідності дотримання стандартів інформаційної безпеки, включаючи PCI DSS. Ці документи можуть містити рекомендації щодо кращих практик у сфері захисту платіжних даних та кібербезпеки.

Ці нормативні акти та рішення регламентують захист платіжних систем і фінансових даних, забезпечуючи безпеку та надійність банківської системи України. Банки та фінансові установи зобов'язані дотримуватися цих вимог і забезпечувати відповідність міжнародним стандартам, включаючи PCI DSS.