Інформаційна безпека

Політика інформаційної безпеки АТ «КБ «ГЛОБУС» (публічна)

Загальні принципи інформаційної безпеки Банку

1. Підходи щодо забезпечення інформаційної безпеки

1. Банком використовуються наступні підходи щодо забезпечення інформаційної безпеки:
   1. створено та затверджено перелік відомостей, що містять інформацію з обмеженим доступом;
   2. створено та затверджено перелік критичних бізнес-процесів, за якими проводиться оцінка ризиків інформаційної безпеки та подальша їх обробка;
   3. встановлено правила доступу до інформаційних ресурсів та програмно-технічних комплексів;
   4. забезпечується контроль фізичного та логічного доступу до всіх визначених ресурсів;
   5. забезпечується парольний захист програмних та сервісних ресурсів;
   6. забезпечується антивірусний захист програмних та сервісних ресурсів;
   7. забезпечується захист мережі;
   8. забезпечується ідентифікація та автентифікація всіх визначених ресурсів;
   9. забезпечується криптографічний захист інформації;
   10. проводяться внутрішні аудити СУІБ та аналіз СУІБ з боку керівництва Банку;
   11. моніторинг та вдосконалення СУІБ.

2. Правила щодо забезпечення ІБ та безперебійної діяльності

1. Банк дотримується наступних правил:
   1. працівники Банку та третіх сторін беруть участь у підтримці відповідного рівня ІБ і несуть відповідальність згідно із законодавством та внутрішніми актами;
   2. враховуються вимоги інформаційної безпеки під час розроблення, впровадження та функціонування програмно-технічних комплексів;
   3. публічні сервіси та внутрішні мережі Банку відповідають вимогам інформаційної безпеки;
   4. Банком встановлюється та контролюється виконання вимог ІБ, передбачених угодами з третіми сторонами щодо платіжних систем;
   5. враховується стратегія розвитку ІБ та ІТ у проєктах Банку;
   6. керівництво Банку забезпечує систематичне навчання працівників з питань ІБ;
   7. складаються, тестуються та оновлюються плани реагування на надзвичайні ситуації:
      • план забезпечення безперервної діяльності;
      • план забезпечення безперервної діяльності інформаційних систем.

3. Інформація як бізнес-ресурс

Інформація та інформаційні активи Банку є важливими бізнес-ресурсами. Банк здійснює заходи щодо захисту від несанкціонованого використання, модифікації, знищення, блокування доступу, а також забезпечує цілісність та спостереженість процесів обробки.
Головним завданням ІБ є мінімізація ризиків ІБ Банку відповідно до політики безпеки.

4. Компетенція та відповідальність

Визначення цілей, стратегій та напрямків ІБ належить до компетенції Правління Банку. Забезпечення режиму ІБ покладається на окремий підрозділ.
Усі співробітники Банку мають бути ознайомлені з вимогами ІБ та виконувати їх.

5. Основи формування політики ІБ

Політика ІБ формується відповідно до законодавства, політики безпеки Банку та договірних зобов’язань. При розбіжностях пріоритет мають вимоги законодавства України.

6. Класифікація інформації та доступ

Інформація класифікується за категоріями обмеження доступу. Банк зобов’язаний обмежувати доступ до банківської таємниці, інсайдерської інформації та персональних даних.

Доступ до інформації з обмеженим доступом співробітникам і аутстаферам надається лише після підписання зобов'язання про нерозголошення.

Доступ стороннім організаціям надається лише за наявності юридично значущих документів щодо захисту інформації.

Поширення персональних даних можливе лише за згодою фізичної особи.

7. Взаємодія з учасниками платіжних систем

Вимоги ІБ у взаємодії з платіжними системами базуються на моделі взаємної недовіри.

8. Захист прав Банку

Банк має право застосовувати легітимні заходи для захисту інформації у разі її несанкціонованого розголошення або інших неправомірних дій.

9. Система захисту інформації (СЗІ)

ІБ забезпечується комплексом заходів (СЗІ), що має гарантувати:

1. неможливість вимкнення або обходу СЗІ;
2. цілісність та неперервність захисту;
3. оптимальність та достатність ступеня захисту;
4. розмежування доступу за принципом "need-to-know";
5. мінімізацію кількості шлюзів між внутрішніми та зовнішніми середовищами;
6. використання сучасних технологій та криптографії;
7. максимальний рівень захисту ключової інформації;
8. мінімізацію людського фактора.

10. Персонал як частина СЗІ

Банк встановлює вимоги до професійності та репутації працівників, що виконують ключові ролі у сфері ІБ, та забезпечує їх навчання.

11. Аналіз ризиків

Банк здійснює постійний аналіз ризиків ІБ. Політика ІБ регулярно переглядається та коригується.

12. Реагування на інциденти

Банком впроваджений механізм оповіщення та реагування на інциденти ІБ.

13. Моніторинг СЗІ

Банк здійснює постійний моніторинг роботи СЗІ та критичних систем.
Банк має право здійснювати моніторинг дій персоналу та сторонніх організацій у межах законодавства.

14. Безперервність діяльності

Банк планує заходи для забезпечення безперервності діяльності та збереження критичної інформації у надзвичайних ситуаціях. План забезпечення безперервності затверджується Правлінням.