Инвентаризация и классификация информационных активов
По статье 5 закона об информационной безопасности субъект критической информационной системы обязан провести инвентаризацию для учёта всех информационных активов. Каждому активу присваивается класс критичности — конфиденциальная или внутреннего использования информация, остальные активы — открытая информация. Инвентаризация описывает значимость, ценность и уровень защиты актива; при создании класс устанавливает автор или ответственное лицо. Правила управления активами для первой и второй категорий устанавливает приказ главы Оперативно-технического агентства, для третьей — агентство цифрового управления, в обороне — министр обороны; для коммерческих банков дополнительные стандарты устанавливает Национальный банк.
Аудит информационной безопасности и тест на проникновение
По статье 6 субъект проводит первичный и периодический аудит информационной безопасности — оценку соответствия минимальным стандартам — с обязательным заключением. Первичный аудит субъекта первой категории бесплатно проводит Оперативно-техническое агентство; периодический — агентство или авторизованная организация. Для третьей категории аудит проводят агентство цифрового управления или авторизованная организация, в обороне — Бюро кибербезопасности. Требования аудита не распространяются на платёжные системы, расчёты по ценным бумагам, управление резервами и системы монетарных и валютных операций. В том же порядке проводится тест на проникновение — по документированному заданию, с обязательным заключением. При выявлении несоответствий или уязвимостей субъект проводит их анализ, составляет план действий с графиком исполнения и в течение 1 месяца после завершения аудита или теста представляет его на согласование соответствующему органу; для коммерческих банков таким органом является Национальный банк. Если аудит проводит авторизованная организация, один экземпляр заключения субъект сразу по завершении аудита направляет Оперативно-техническому агентству или агентству цифрового управления — в зависимости от категории системы. Аудит и тест на проникновение проводятся в сотрудничестве с менеджером информационной безопасности и специалистом по компьютерной безопасности субъекта.
Авторизация аудиторов
Статья 6-1 определяет, кто вправе проводить аудит и тест: организация, прошедшая авторизацию в агентстве цифрового управления. Проводящее аудит лицо должно пройти проверку на благонадёжность в порядке, установленном актом главы службы государственной безопасности. Авторизация проходит в порядке, установленном приказом председателя агентства цифрового управления, а плата за её прохождение — в соответствии с законом об этом агентстве. Организация может пройти авторизацию, если отвечает требованиям безопасности, определённым актом главы службы государственной безопасности, а её сотрудник, уполномоченный проводить аудит или тест, прошёл проверку на благонадёжность. В коммерческих банках могут привлекаться и организации из дополнительного списка авторизованных, представляемого Национальным банком.