Об утверждении требований к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности

Примечание ИЗПИ! Настоящее постановление вводится в действие с 1 января 2021 года.

В соответствии с подпунктом 3) статьи 13-6 Закона Республики Казахстан от 4 июля 2003 года "О государственном регулировании, контроле и надзоре финансового рынка и финансовых организаций" Правление Агентства Республики Казахстан по регулированию и развитию финансового рынка ПОСТАНОВЛЯЕТ:

1 1. Утвердить прилагаемые Требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности.

2 2. Управлению кибербезопасности в установленном законодательством Республики Казахстан порядке обеспечить:

1 1) совместно с Юридическим департаментом государственную регистрацию настоящего постановления в Министерстве юстиции Республики Казахстан;

2 2) размещение настоящего постановления на официальном интернет-ресурсе Агентства Республики Казахстан по регулированию и развитию финансового рынка после его официального опубликования;

3 3) в течение десяти рабочих дней после государственной регистрации настоящего постановления представление в Юридический департамент сведений об исполнении мероприятия, предусмотренного подпунктом 2) настоящего пункта.

3 3. Контроль за исполнением настоящего постановления возложить на курирующего заместителя Председателя Агентства Республики Казахстан по регулированию и развитию финансового рынка.

4 4. Настоящее постановление вводится в действие с 1 января 2021 года и подлежит официальному опубликованию.

| Председатель Агентства Республики Казахстан по регулированию и развитию финансового рынка | М. Абылкасымова |
|---|---|

| | Приложение к постановлению Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка от 21 сентября 2020 года № 89 |
|---|---|

Глава. Требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности

Глава 1. Общие положения

1 1. Настоящие Требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности (далее – Требования) разработаны в соответствии с Законом Республики Казахстан от 4 июля 2003 года "О государственном регулировании, контроле и надзоре финансового рынка и финансовых организаций" и устанавливают требования к компетенциям руководителей и работников подразделений информационной безопасности, включая требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности (далее – работники) финансовых организаций Республики Казахстан и филиалов банков-нерезидентов Республики Казахстан, филиалов страховых (перестраховочных) организаций-нерезидентов Республики Казахстан, филиалов страховых брокеров-нерезидентов Республики Казахстан (далее – организации) независимо от форм собственности.

2 2. В Требованиях используются следующие понятия:

1 1) информационная безопасность - состояние защищенности электронных информационных ресурсов, информационных систем и информационно-коммуникационной инфраструктуры от внешних и внутренних угроз;

2 2) домен - совокупность знаний в отдельной предметной области;

3 3) компетенция - результат усвоения информации, полученный в процессе обучения и личного опыта; совокупность знаний, теории и практики, относящихся к сфере обучения или работы; компонент квалификации, который подвергается оценке.
В Требованиях применяются термины и определения в соответствии с Межгосударственным стандартом ГОСТ ISO/IEC 17024-2014 "Оценка соответствия. Общие требования к органам, осуществляющим сертификацию персонала" (далее – Стандарт).

3 3. Требования основываются на принципах:

1 1) разграничения функциональных обязанностей по типовым должностям;

2 2) направленности на знания и навыки в области информационных технологий и информационной безопасности, включая кибербезопасность;

3 3) независимости от требований, предъявляемых производителями программного обеспечения и аппаратного оборудования к работникам;

4 4) баланса теоретических знаний и практических навыков, профессиональных компетенций, предъявляемых к типовым должностям;

5 5) использования типовых доменов.

4 4. Типовые должности в организации:

1 1) специалист - работник подразделения информационной безопасности, в функциональные обязанности которого входит обеспечение информационной безопасности организации;

2 2) руководитель - работник подразделения информационной безопасности, в функциональные обязанности которого входит организация деятельности подразделения информационной безопасности;

3 3) ответственный работник - работник, выполняющий одновременно функциональные обязанности специалиста и руководителя.

5 5. Разделение компетенций на домены предназначено для:

1 1) баланса возможностей и специфики организации по обеспечению информационной безопасности;

2 2) формирования требования с учетом квалификации, компетенции работников и особенностей бизнес-процессов организации;

3 3) расширения требований за счет создания новых доменов.

Глава 2. Состав доменов

6 6. Домены содержат минимально необходимый перечень компетенций, которые по усмотрению организации дополняются, расширяются при необходимости.

7 7. Состав типовых доменов:

1 1) базовый;

2 2) правовой;

3 3) организационный;

4 4) программно-аппаратный;

5 5) телекоммуникационный;

6 6) методы и средства обеспечения информационной безопасности;

7 7) управление рисками информационной безопасности;

8 8) управление инцидентами информационной безопасности.

8 8. Состав домена "базовый" - терминология и требования системы управления информационной безопасностью в соответствии с национальным стандартом Республики Казахстан СТ ISO/IEC 27001-2022 "Информационная безопасность, кибербезопасность и защита конфиденциальности. Системы менеджмента информационной безопасности. Требования" или международным стандартом ISO/IEC 27001:2022 "Information security, cybersecurity and privacy protection – Information security management systems - Requirements" (Информэйшн секьюрити, сайберсекьюрити энд прайвэси протекшн. Информэйшн секьюрити мэнэджмент системс - Реквайрментс) (Информационная безопасность, кибербезопасность и защита частной жизни - Системы менеджмента информационной безопасности - Требования).

9 9. Состав домена "правовой":

1 1) национальные, международные стандарты в области информационной безопасности;

2 2) законодательные и нормативные правовые акты в области информационной безопасности;

3 3) методические документы уполномоченных органов по защите информации.

10 10. Состав домена "организационный":

1 1) основы, цели, принципы управленческой деятельности;

2 2) основы информационно-аналитической деятельности;

3 3) основные организационные меры и мероприятия по защите информации.

11 11. Состав домена "программно-аппаратный":

1 1) общие принципы функционирования программно-аппаратных средств;

2 2) принципы построения, работы программно-аппаратных комплексов защиты информации;

3 3) порядок устранения неисправностей программно-аппаратных средств защиты информации.

12 12. Состав домена "телекоммуникационный":

1 1) принципы построения информационных систем и сетей телекоммуникаций;

2 2) источники угроз информационной безопасности в сетях телекоммуникаций и меры по их предотвращению;

3 3) назначение, цели, возможности эксплуатируемых средств защиты информации на объектах телекоммуникаций;

4 4) методы и средства защиты информации от несанкционированного доступа в сетях телекоммуникаций.

13 13. Состав домена "методы и средства информационной безопасности":

1 1) организационные аспекты информационной безопасности;

2 2) управление информационными активами;

3 3) управление доступом.

14 14. Состав домена "управление рисками информационной безопасности":

1 1) процесс управления рисками информационной безопасности:

2 2) основные критерии менеджмента рисков;

3 3) оценка рисков информационной безопасности;

4 4) обработка, принятие рисков информационной безопасности.

15 15. Состав домена "управление инцидентами информационной безопасности":

1 1) цели и задачи группы реагирования на инциденты;

2 2) план управления инцидентами.

Глава 3. Требования к знаниям и опыту работы

16 16. Обязательным для всех должностей является домен "базовый".

17 17. К специалисту дополнительно к домену "базовому" предъявляются требования о наличии компетенций не менее, чем по одному из доменов.

18 18. К специалисту предъявляется требование о соответствии одному из критериев:

1 1) наличие среднего специального или высшего образования по одному из доменов;

2 2) прохождение обучения по одному или более доменам;

3 3) опыт работы по одному и более доменам не менее двух лет;

4 4) наличие сертификата, подтверждающего знания и опыт по одному или более доменам, выданного в соответствии с требованиями Стандарта или Международного стандарта ISO/IEC 17024:2012 "Conformity assessment - general requirements for bodies operating certification of persons" (Комфомити ассесмент – дженерал реквайрментс фор бодиес оператинг сертификэйшн оф персонс) (Оценка соответствия. Общие требования к органам, осуществляющим сертификацию персонала) (далее – Международный стандарт).

19 19. Требования к руководителю включают в себя минимально необходимый перечень компетенций в соответствии с возложенными на подразделение информационной безопасности задачами.

20 20. К руководителю предъявляются требования о наличии высшего образования и опыта работы не менее трех лет по одному из доменов.

21 21. Оценка компетенций руководителя осуществляется в соответствии с внутренними документами организации. Решение о его соответствии оформляется документально.

21-1 21-1. Не менее пяти процентов работников подразделения информационной безопасности в организации, указанных в пункте 4 Требований, подтверждают соответствие критериям подпункта 4) пункта 18 Требований.

Глава 4. Требования по повышению квалификации лиц, ответственных за обеспечение информационной безопасности

22 22. Специалисты и руководители не реже одного раза в 3 (три) года повышают квалификацию путем прохождения обучения или сертификации по темам, указанным в доменах.

23 23. Подтверждением повышения квалификации специалистов и руководителей, ответственных за обеспечение информационной безопасности, является наличие документов о прохождении обучения и (или) сертификата, выданного в соответствии со Стандартом или Международным стандартом.