Қағидаға сәйкес, бағалау іс-шаралары – киберқауіпсіздік қатерлерін модельдеуге, қаржы саласындағы ақпараттық қауіпсіздік оқиғаларына, оның ішінде киберинциденттерге ден қою және маңызды ақпараттық активтердің жұмысын қалпына келтіру әрекеттерін пысықтауға бағытталған ұйымдастырушылық, басқарушылық және техникалық іс-шаралар кешені.
Қаржы ұйымдары бағалау іс-шараларының мынадай түрлерін жүргізеді:
- құжаттамалық бағалау іс-шаралары;
- функционалдық бағалау іс-шаралары;
- техникалық имитациялық бағалау іс-шаралары.
Құжаттамалық бағалау іс-шаралары маңызды ақпараттық активтерге әсер етпей, киберқауіпсіздік қатерлерін модельдеу түрінде өткізіледі.
Оның барысында басқарушылық шешімдер қабылдау, ден қою рәсімдері және қаржы ұйымы бөлімшелерінің өзара іс-қимылы пысықталады.
Функционалдық бағалау іс-шаралары қаржы саласындағы ақпараттық қауіпсіздік оқиғаларына, оның ішінде киберинциденттерге ден қоюға қатысатын қаржы ұйымының құрылымдық бөлімшелерінің қатысуымен өткізіледі.
Бұл іс-шаралар барысында құрылымдық бөлімшелердің іс-қимылдарын үйлестіру және ақпараттық қауіпсіздік оқиғаларына ден қою тәртібін реттейтін ішкі құжаттар талаптарының орындалуы тексеріледі.
Техникалық имитациялық бағалау іс-шаралары қаржы ұйымының ағымдағы операцияларын орындау үшін пайдаланылмайтын бақыланатын ортада техникалық құралдарды қолдана отырып, ақпараттық қауіпсіздік оқиғаларын модельдеуді көздейді.
Қаржы ұйымдары бағалау іс-шараларын тұрақты негізде, күнтізбелік жылына кемінде бір рет өткізуге міндетті.
Жоспардан тыс бағалау іс-шаралары мынадай жағдайларда жүргізіледі:
- жоғары немесе сыни тәуекел деңгейіне жатқызылған жаңа киберқауіпсіздік қатері туындаған кезде;
- қаржы ұйымының цифрлық инфрақұрылымында маңызды ақпараттық активтердің жұмысына немесе ұйым қызметінің үздіксіздігіне әсер етуі мүмкін елеулі өзгерістер болған кезде;
- тәуекелдерді ішкі бағалау нәтижелері бойынша.
Бұдан бөлек, ақпараттық қауіпсіздікті басқару жүйесінде жоғары тәуекелдер немесе елеулі кемшіліктер анықталған жағдайда уәкілетті органның ұсынымы бойынша да жоспардан тыс бағалау іс-шаралары өткізіледі.
Әрбір бағалау іс-шарасы бойынша мынадай мәліметтер қамтылған жоспар әзірленеді:
- бағалау іс-шарасының түрі;
- сценарийдің сипаттамасы;
- қаржы ұйымының қатыстырылатын құрылымдық бөлімшелерінің тізбесі;
- бағалау іс-шарасын өткізу тәртібі;
- оның нәтижелерін бағалау өлшемшарттары.
Жоспарды қаржы ұйымының уәкілетті лауазымды тұлғасы уәкілетті органмен келісу арқылы бекітеді.
Бағалау іс-шараларын өткізу барысында қатысушылардың әрекеттері, қабылданған шешімдер мен анықталған кемшіліктер міндетті түрде құжатталады.
Қаржы ұйымы ден қоюдың уақыт көрсеткіштерін, оның ішінде ақпараттық қауіпсіздік оқиғасының анықталған уақытын және жүйенің қалпына келтірілген уақытын, сондай-ақ жоспарда көзделген өзге де көрсеткіштерді тіркейді.
Уәкілетті орган бағалау іс-шараларына мынадай мәртебелердің бірімен қатыса алады:
- бақылаушы ретінде – іс-шараның өту барысына араласпай;
- тең ұйымдастырушы ретінде – бағалау іс-шарасын бірлесіп дайындау және өткізу кезінде.
Өткізілген іс-шаралардың нәтижелері бойынша қаржы ұйымы мынадай мәліметтерді қамтитын құжатты қалыптастырып, бекітеді:
- бағалау іс-шарасының түрі мен сценарийінің сипаттамасы;
- қатыстырылған құрылымдық бөлімшелердің тізбесі;
- өткізудің негізгі кезеңдері;
- қол жеткізілген нәтижелер, анықталған кемшіліктер және олардың қаржы ұйымының ақпараттық қауіпсіздігі тәуекелдерінің деңгейіне ықпалына берілген баға;
- ден қою көрсеткіштерінің бағасы;
- түзету шаралары мен оларды іске асыру мерзімдері, орындалуы туралы мәліметтер, ал белгіленген мерзімде орындалмаған жағдайда – оның себептері, қабылданған шаралар және орындау мерзімі.
Бағалау іс-шарасының нәтижелері туралы ақпарат ол аяқталғаннан кейін 10 жұмыс күнінен кешіктірілмей ақпараттық қауіпсіздік оқиғалары мен инциденттері туралы ақпаратты өңдеуге арналған автоматтандырылған жүйе арқылы уәкілетті органға ұсынылады.
Қаулы алғаш рет ресми жарияланғаннан кейін 10 күн өткен соң қолданысқа енгізіледі.