Об утверждении требований к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности
В соответствии с подпунктом 3) статьи 13-6 Закона Республики Казахстан от 4 июля 2003 года «О государственном регулировании, контроле и надзоре финансового рынка и финансовых организаций» Правление Агентства Республики Казахстан по регулированию и развитию финансового рынка ПОСТАНОВЛЯЕТ:
- Утвердить прилагаемые Требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности.
- Управлению кибербезопасности в установленном законодательством Республики Казахстан порядке обеспечить:
1) совместно с Юридическим департаментом государственную регистрацию настоящего постановления в Министерстве юстиции Республики Казахстан;
2) размещение настоящего постановления на официальном
интернет-ресурсе Агентства Республики Казахстан по регулированию и развитию финансового рынка после его официального опубликования;
3) в течение десяти рабочих дней после государственной регистрации настоящего постановления представление в Юридический департамент сведений об исполнении мероприятия, предусмотренного подпунктом 2) настоящего пункта.
- Контроль за исполнением настоящего постановления возложить на курирующего заместителя Председателя Агентства Республики Казахстан по регулированию и развитию финансового рынка.
- Настоящее постановление вводится в действие с 1 января 2021 года и подлежит официальному опубликованию.
Председатель
Агентства Республики
Казахстан по регулированию
и развитию финансового рынка М. Абылкасымова
Утверждены
постановлением Правления
Агентства Республики Казахстан
по регулированию и развитию
финансового рынка
от 21 сентября 2020 года № 89
Требования
к компетенциям руководителей и работников
подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности
Глава 1. Общие положения
- Настоящие Требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности (далее - Требования) разработаны в соответствии с Законом Республики Казахстан от 4 июля 2003 года «О государственном регулировании, контроле и надзоре финансового рынка и финансовых организаций» и устанавливают требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности (далее – работники) финансовых организаций Республики Казахстан (далее – организации) независимо от форм собственности.
- В Требованиях используются следующие понятия:
- информационная безопасность - состояние защищенности электронных информационных ресурсов, информационных систем и информационно-коммуникационной инфраструктуры от внешних и внутренних угроз;
- домен - совокупность знаний в отдельной предметной области;
- компетенция - результат усвоения информации, полученный в процессе обучения и личного опыта; совокупность знаний, теории и практики, относящихся к сфере обучения или работы; компонент квалификации, который подвергается оценке;
- сертификация - предоставление сторонней организацией подтверждающего документа (сертификата), заверяющего прохождение обучения, курсов подготовки, переподготовки, образовательных программ в сфере информационной безопасности.
- Требования основываются на принципах:
- разграничения функциональных обязанностей по типовым должностям;
- направленности на знания и навыки в области информационных технологий и информационной безопасности, включая кибербезопасность;
- независимости от требований, предъявляемых производителями программного обеспечения и аппаратного оборудования к работникам;
- баланса теоретических знаний и практических навыков, профессиональных компетенций, предъявляемых к типовым должностям;
- использования типовых доменов.
- Типовые должности в организации:
- специалист - работник подразделения информационной безопасности, в функциональные обязанности которого входит обеспечение информационной безопасности организации;
- руководитель - работник подразделения информационной безопасности, в функциональные обязанности которого входит организация деятельности подразделения информационной безопасности;
- ответственный работник - работник, выполняющий одновременно функциональные обязанности специалиста и руководителя.
- Разделение компетенций на домены предназначено для:
- баланса возможностей и специфики организации по обеспечению информационной безопасности;
- формирования требования с учетом квалификации, компетенции работников и особенностей бизнес-процессов организации;
- расширения требований за счет создания новых доменов.
Глава 2. Состав доменов
- Домены содержат минимально необходимый перечень компетенций, которые по усмотрению организации дополняются, расширяются при необходимости.
- Состав типовых доменов:
- базовый;
- правовой;
- организационный;
- программно-аппаратный;
- телекоммуникационный;
- методы и средства обеспечения информационной безопасности;
- управление рисками информационной безопасности;
- управление инцидентами информационной безопасности.
- Состав домена «базовый» - терминология и требования системы управления информационной безопасностью.
- Состав домена «правовой»:
- национальные, международные стандарты в области информационной безопасности;
- законодательные и нормативные правовые акты в области информационной безопасности;
- методические документы уполномоченных органов по защите информации.
- Состав домена «организационный»:
- основы, цели, принципы управленческой деятельности;
- основы информационно-аналитической деятельности;
- основные организационные меры и мероприятия по защите информации.
- Состав домена «программно-аппаратный»:
- общие принципы функционирования программно-аппаратных средств;
- принципы построения, работы программно-аппаратных комплексов защиты информации;
- порядок устранения неисправностей программно-аппаратных средств защиты информации.
- Состав домена «телекоммуникационный»:
- принципы построения информационных систем и сетей телекоммуникаций;
- источники угроз информационной безопасности в сетях телекоммуникаций и меры по их предотвращению;
- назначение, цели, возможности эксплуатируемых средств защиты информации на объектах телекоммуникаций;
- методы и средства защиты информации от несанкционированного доступа в сетях телекоммуникаций.
- Состав домена «методы и средства информационной безопасности»:
- организационные аспекты информационной безопасности;
- управление информационными активами;
- управление доступом.
- Состав домена «управление рисками информационной безопасности»:
- процесс управления рисками информационной безопасности:
- основные критерии менеджмента рисков;
- оценка рисков информационной безопасности;
- обработка, принятие рисков информационной безопасности.
- Состав домена «управление инцидентами информационной безопасности»:
- цели и задачи группы реагирования на инциденты;
- план управления инцидентами.
Глава 3. Требования к знаниям и опыту работы
- Обязательным для всех должностей является домен «базовый».
- К специалисту дополнительно к домену «базовому» предъявляются требования о наличии компетенций не менее, чем по одному из доменов.
- К специалисту предъявляется требование о соответствии одному из критериев:
- наличие среднего специального или высшего образования по одному из доменов;
- прохождение сертификации по одному или более доменам;
- опыт работы по одному и более доменам не менее двух лет.
- Требования к руководителю включают в себя минимально необходимый перечень компетенций в соответствии с возложенными на подразделение информационной безопасности задачами.
- К руководителю предъявляются требования о наличии высшего образования и опыта работы не менее трех лет по одному из доменов.
- Оценка компетенций руководителя осуществляется в соответствии с внутренними документами организации. Решение о его соответствии оформляется документально.
Глава 4. Требования по повышению квалификации лиц,
ответственных за обеспечение информационной безопасности
- Специалисты и руководители не реже одного раза в 3 (три) года повышают квалификацию путем прохождения обучения или сертификации по темам, указанным в доменах.
- Подтверждением повышения квалификации специалистов и руководителей, ответственных за обеспечение информационной безопасности, является наличие документов о прохождении обучения и(или) сертификации.