Услуга по выполнению требований SWIFT

Кто имеет право и полномочия проводить независимую оценку?

В соответствии с Концепцией независимой оценки (Independent Assessment Framework) выдвигаются два строго рекомендуемых требования к Асессорам (оценщикам).

1. Независимость. Для надлежащего проведения оценки оценщик должен быть свободен от любого конфликта интересов. Независимость – это свобода от обстоятельств, которые угрожают при проведении оценки непредвзято выполнять свои обязанности. Таким образом, оценщик должен быть свободен от неправомерного влияния от ответственных лиц за элементы контроля.
2. Квалификация Асессора. Внешняя компания/внутреннее подразделение, проводящее оценку, должны иметь свежий (в пределах 12 месяцев) и соответствующий опыт проведения оценки операционной деятельности, на соблюдение требований кибербезопасности в соответствии с отраслевыми стандартами, такими как PCI DSS, ISO 27001, NIST SP 800-53, SOC-2 или Концепция кибербезопасности NIST или просто CSP/CSCF. Другие отраслевые стандарты допустимы, если они обеспечивают такой же уровень надежности и безопасности. Также имеются требования к лицам, которые отвечают за руководство командой по оценке в организации. Этим лицом обычно является Ведущий Асессор, который должен иметь по крайней мере одну профессиональную сертификацию, соответствующую отрасли.

Примерами такой сертификации являются:

• Квалифицированный Асессор систем безопасности - PCI Qualified Security
  Assessor (QSA);
• Сертифицированный специалист по безопасности информационных систем - Certified Information Systems Security Professional (CISSP);
• Сертифицированный аудитор информационных систем - Certified Information Systems Auditor (CISA);
• Сертифицированный менеджер по информационной безопасности – Certified Information Security Manager (CISM);
• Ведущий аудитор по ISO 27001;
• Глобальная сертификация обеспечения информационной безопасности Института системного администрирования, сетевого взаимодействия и безопасности - System Administration, Networking, and Security Institute (SANS) GIAC (Global Information Assurance Certification).

Другие профессиональные сертификации, с локального рынка и на локальном языке, допустимы, если они обеспечивают тот же уровень надежности и безопасности. Однако, оценку по требованию SWIFT могут проводить только внешние оценщики.

Важно!

SWIFT не одобряет и не аккредитовывает каких-либо определенных Асессоров, и Пользователи в конечном счете несут ответственность за выбор Асессора, соответствующего их потребностям и целям, отвечающего требуемым стандартам и имеющего соответствующую сертификацию. Тем не менее SWIFT публикует список внешних компаний, которые изъявили желание быть опубликованными и могут оказать помощь в проведении независимых оценок по CSCF.

Доступна ли самоаттестация по SWIFT в 2022 году?

В соответствии с Концепцией независимой оценки (Independent Assessment Framework v2022) существуют три вида оценок:

• Самоаттестация;
• Оценка по стандартам общества;
• Оценка по требованиям SWIFT.

Самоаттестация существовала с начала реализации программы CSP. Ее проводили сотрудники первой линии защиты. Как правило, самоаттестацию выбирали как промежуточный вариант, когда невозможно было пройти независимую оценку. Начиная с 2022 года выбор этого варианта делает аттестацию не соответствующей требованиям, и SWIFT оставляет за собой право сообщать о пользователях, применяющих этот вариант, регулятору. Таким образом самоаттестация доступна, но не будет принята SWIFT, что повлечет за собой установку статуса к участнику как Not Comply.

В какой период должна проводиться независимая внешняя оценка?

В соответствии с Политикой обеспечения безопасности пользователей SWIFT (SWIFT Customer Security Controls Policy v 2022), новая версия аттестации доступна в июле каждого года. Если результаты аттестации оцениваются на основе старой версии CSCF и публикуются до июля, аттестация будет действовать до конца текущего года. Если результаты аттестации оцениваются на основе текущей версии CSCF и публикуются после июля, аттестация будет действовать до конца следующего года.

Таким образом, независимая внешняя оценка по текущей версии CSCF должна проводиться во второй половине года (с июля по декабрь).