Рекомендации по выполнению требований по реализации мер из приказов ФСТЭК России №№ 17, 21, 31, 239.

ЗО КИИ (№239)   АСУ ТП (№31)   ПДн (№21)   ГИС (№17)

Раздел в стадии наполнения. По любым вопросам, предложениям и дополнениям можно обращаться через комментарии или лично.


Меры обеспечения безопасности значимого объекта

Установлены Приказом ФСТЭК России №239 от 25.12.2017 «Об утверждении Требований по обеспечению безопасности значимых объектов КИИ РФ».

Действующая на момент актуализации редакция:

I. Идентификация и аутентификация (ИАФ)

Наверх

ИАФ.0 Регламентация правил и процедур идентификации и аутентификации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

Тип требования: Процедурное

Способ реализации: Организационные мероприятия -  разработка правил и процедур (политик) идентификации и аутентификации субъектов доступа и объектов доступа

Возможности некоторых продуктов:

Аналоги в других приказах ФСТЭК России:

  • Приказ 31 — ИАФ.0

Наверх

Обратно к I. Идентификация и аутентификация (ИАФ)

ИАФ.1 Идентификация и аутентификация пользователей и инициируемых ими процессов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

Тип требования: Функциональное

Способы реализации:

  • рекомендуемые: Встроенные механизмы обеспечения информационной безопасности операционных систем, прикладного программного обеспечения, программируемых логических контроллеров, активного сетевого оборудования и т.п. в части идентификации и аутентификации пользователей, являющихся работниками/сотрудниками субъекта КИИ.
  • возможные: СЗИ от НСД, система мониторинга

Возможности некоторых продуктов:

  • CL DATAPK - В части доступа к DATAPK, также может быть использован для автоматизированного контроля реализации требования.
  • Secret Net Studio 8.5 - Возможность входа пользователей в систему, как по логину/паролю, так и с использованием аппаратных средств усиленной аутентификации. Стандартная аутентификация, усиленная аутентификация по ключу, усиленная аутентификация по паролю
  • Secret Net Studio - C 8.5 - Возможность входа пользователей в систему, как по логину/паролю, так и с использованием аппаратных средств усиленной аутентификации. Стандартная аутентификация, усиленная аутентификация по ключу, усиленная аутентификация по паролю
  • Secret Net LSP 1.9 - Возможность входа пользователей в систему, как по логину/паролю, так и с использованием аппаратных средств усиленной аутентификации. Стандартная аутентификация, усиленная аутентификация по ключу, усиленная аутентификация по паролю
  • ПАК “Соболь” 3.0.9 (M2) - Идентификация и усиленная (двухфакторная) аутентификация пользователей с использованием персональных идентификаторов.
  • Соболь 4.2 - Идентификация и усиленная (двухфакторная) аутентификация пользователей с использованием персональных идентификаторов.
  • АПКШ Континент 3.7 - Аутентификация пользователей через “клиента аутентификации пользователя”.
  • Континент-АП + Сервер доступа 3.7 - Аутентификация на асимметричных ключах. Аутентификация до WinLogona.
  • vGate 4.0 - Идентификация/аутентификация пользователей, поддержка электронных идентификаторов.
  • InfoWatch Endpoint Security - Разграничение прав доступа пользователей к файлам
  • InfoWatch Person Monitor - Контроль инициируемых пользователями процессов
  • InfoWatch Traffic Monitor - Ограничение возможности использования устройств (модуль Device Monitor)
  • InfoWatch ARMA Industrial Firewall - Использование портала авторизации, идентификации устройств по IP-
и MAC-адресам

Аналоги в других приказах ФСТЭК России:

  • Приказ 17 — ИАФ.1
  • Приказ 21 — ИАФ.1
  • Приказ 31 — ИАФ.1

Наверх

Обратно к I. Идентификация и аутентификация (ИАФ)

ИАФ.2 Идентификация и аутентификация устройств

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

Тип требования: Функциональное

Способы реализации:

  • рекомендуемые: Встроенные механизмы обеспечения информационной безопасности операционных систем, прикладного программного обеспечения, программируемых логических контроллеров, активного сетевого оборудования и т.п.
  • возможные: СЗИ от НСД, система мониторинга, межсетевой экран

Возможности некоторых продуктов:

  • CL DATAPK - В DATAPK реализована идентификация устройств (функция инвентаризации), подключенных к сети и подключенных к рабочим местам, серверам и другим узлам сети.
  • Secret Net Studio 8.5 - Идентификация компьютеров, съемных машинных носителей информации
  • Secret Net Studio - C 8.5 - Идентификация компьютеров, съемных машинных носителей информации
  • Secret Net LSP 1.9 - Идентификация съемных машинных носителей информации, компьютеров в совместном режиме с SNS

  • АПКШ Континент 3.7 - Криптографические метки: ID КШ, наличие ключа
  • Континент-АП + Сервер доступа 3.7 - Континент-АП аутентифицируется на конкретном устройсте - сервере доступа (использование сертификата СД).
  • vGate 4.0 - Аутентификация ESXi, vCenter, Hyper-V внешних серверов и АРМов
  • InfoWatch Endpoint Security - Ограничение возможности использования устройств

  • InfoWatch ARMA Industrial Firewall - В случае использования портала авторизации для внешних
по отношению к АСУ пользователей возможно управление идентификаторами

Аналоги в других приказах ФСТЭК России:

  • Приказ 17 — ИАФ.2
  • Приказ 21 — ИАФ.2
  • Приказ 31 — ИАФ.2

Наверх

Обратно к I. Идентификация и аутентификация (ИАФ)

ИАФ.3 Управление идентификаторами

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

Тип требования: Функциональное

Способы реализации:

  • рекомендуемые: Встроенные механизмы обеспечения информационной безопасности операционных систем, прикладного программного обеспечения, программируемых логических контроллеров, активного сетевого оборудования и т.п. — управление идентификаторами пользователей или служебными идентификаторами субъектов доступа (процессов, устройств).
  • возможные: СЗИ от НСД, системы управления учётными данными и доступом (IAM), межсетевые экраны (МЭ, FW)

Возможности некоторых продуктов:

  • CL DATAPK - DATAPK позволяет создавать, присваивать, изменять или уничтожать идентификаторы рабочих мест, серверов, программируемых логических контроллеров и другим узлам сети АСУ ТП, обнаруженным в ходе инвентаризации.
  • Secret Net Studio 8.5 - Управление учетными записями, присвоение аппаратных средств аутентификации
  • Secret Net Studio - C 8.5 - Управление учетными записями, присвоение аппаратных средств аутентификации
  • Secret Net LSP 1.9 - Управление учетными записями, присвоение аппаратных средств аутентификации
  • ПАК “Соболь” 3.0.9 (M2) - Администратор управляет идентификаторами. Реализовано присвоение идентификатора пользователю, удаление идентификатора у пользователя, форматирование идентификаторов.
  • Соболь 4.2 - Администратор управляет идентификаторами. Реализовано присвоение идентификатора пользователю, удаление идентификатора у пользователя, форматирование идентификаторов.
  • АПКШ Континент 3.7 - ЦУС - управление КШ (создание КШ, удаление КШ, присвоение ID)
  • Континент-АП + Сервер доступа 3.7 - Управление учетными записями на СД. Идентификатор-имя учетной записи.
  • vGate 4.0 - Управление пользователями и электронными идентификаторами (eToken PRO, eToken PRO Java (USB, смарт-карта), JaCarta).

Аналоги в других приказах ФСТЭК России:

  • Приказ 17 — ИАФ.3
  • Приказ 21 — ИАФ.3
  • Приказ 31 — ИАФ.3

Наверх

Обратно к I. Идентификация и аутентификация (ИАФ)

ИАФ.4 Управление средствами аутентификации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

Тип требования: Функциональное

Способы реализации:

  • рекомендуемые: Управление средствами аутентификации осуществляется с помощью встроенных механизмов обеспечения информационной безопасности операционных систем, прикладного программного обеспечения, программируемых логических контроллеров, активного сетевого оборудования и т.п.
  • возможные: Службы каталога, системы управления жизненным циклом сертификатов открытого ключа, СЗИ от НСД

Возможности некоторых продуктов:

  • CL DATAPK - Реализовано в части доступа к DATAPK.
  • Secret Net Studio 8.5 - Управление паролями, назначение аппаратных средств аутентификации. Интеграция с JaCarta Management System. Есть утилита генерации случайных паролей - с использованием ДСЧ ПАК “Соболь”
  • Secret Net Studio - C 8.5 - Управление паролями, назначение аппаратных средств аутентификации. Интеграция с JaCarta Management System. Есть утилита генерации случайных паролей - с использованием ДСЧ ПАК “Соболь”
  • Secret Net LSP 1.9 - Управление паролями, назначение аппаратных средств аутентификации. Есть утилита генерации случайных паролей - с использованием ДСЧ ПАК “Соболь”
  • ПАК “Соболь” 3.0.9 (M2) - 1) Кроме идентификатора при аутентификации в Соболе используется специальный ключ (аутентификатор) и пароль. 2) Реализован генератор пароля при регистрации и смене пароля Администратора/пользователя. 3) Реализована проверка стойкости пароля 4) Есть возможность смены ключа и пароля. Реализован режим их устаревания.
  • Соболь 4.2 - 1) Кроме идентификатора при аутентификации в Соболе используется специальный ключ (аутентификатор) и пароль. 2) Реализован генератор пароля при регистрации и смене пароля Администратора/пользователя. 3) Реализована проверка стойкости пароля 4) Есть возможность смены ключа и пароля. Реализован режим их устаревания.
  • АПКШ Континент 3.7 - АРМ ГК-работа с носителями и ключами ЦУС- криптографическая аутентификация КШ
  • Континент-АП + Сервер доступа 3.7 - Работа с ключами, сертификат и закрытый ключ отзыв сертификата.
  • vGate 4.0 - В рамках поддержки электронных идентификаторов.

  • InfoWatch Traffic Monitor - Поддержка протоколов LDAP/OpenLDAP
  • InfoWatch ARMA Industrial Firewall - Может применятся

Аналоги в других приказах ФСТЭК России:

  • Приказ 17 — ИАФ.4
  • Приказ 21 — ИАФ.4
  • Приказ 31 — ИАФ.4

Наверх

Обратно к I. Идентификация и аутентификация (ИАФ)

ИАФ.5 Идентификация и аутентификация внешних пользователей

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

Тип требования: Функциональное

Способы реализации:

  • рекомендуемые: Требование реализуется встроенными механизмами обеспечения информационной безопасности операционных систем, прикладного программного обеспечения, программируемых логических контроллеров, активного сетевого оборудования и т.п.
  • возможные: Системы управления учётными данными и доступом (IAM)

Возможности некоторых продуктов:

  • CL DATAPK - В случае, если реализация требования зависит от настроек системного или прикладного программного обеспечения, DATAPK может использоваться для автоматизации контроля его выполнения, также реализовано в части доступа к DATAPK

Аналоги в других приказах ФСТЭК России:

  • Приказ 17 — ИАФ.6
  • Приказ 21 — ИАФ.6
  • Приказ 31 — ИАФ.5

Наверх

Обратно к I. Идентификация и аутентификация (ИАФ)

ИАФ.6 Двусторонняя аутентификация

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

Тип требования: Функциональное

Способы реализации:

  • рекомендуемые: Встроенные механизмы обеспечения информационной безопасности операционных систем, прикладного программного обеспечения, программируемых логических контроллеров, активного сетевого оборудования и т.п.
  • возможные: Системы управления учётными данными и доступом (IAM)

Возможности некоторых продуктов:

  • CL DATAPK - В случае, если реализация требования зависит от настроек системного или прикладного программного обеспечения, DATAPK может использоваться для автоматизации контроля его выполнения, также реализовано в части доступа к DATAPK
  • Secret Net Studio 8.5 - Межсетевой экран, авторизация соединений
  • Secret Net Studio - C 8.5 - Межсетевой экран, авторизация соединений

  • АПКШ Континент 3.7 - Межсетевой экран, авторизация соединений
  • Континент-АП + Сервер доступа 3.7 - Межсетевой экран, авторизация соединений
  • vGate 4.0 - Двусторонняя аутентификация клиентов и СА
  • InfoWatch Endpoint Security - Шифрование

  • InfoWatch ARMA Industrial Firewall - Может применятся

Аналоги в других приказах ФСТЭК России:

  • Приказ 31 — ИАФ.6

Наверх

Обратно к I. Идентификация и аутентификация (ИАФ)

ИАФ.7 Защита аутентификационной информации при передаче

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

Тип требования: Функциональное

Способы реализации:

  • рекомендуемые: Требование реализуется встроенными механизмами обеспечения информационной безопасности операционных систем, прикладного программного обеспечения, программируемых логических контроллеров, активного сетевого оборудования и т.п.
  • возможные: Системы управления учётными данными и доступом (IAM)

Возможности некоторых продуктов:

  • CL DATAPK - В случае, если реализация требования зависит от настроек системного или прикладного программного обеспечения, DATAPK может использоваться для автоматизации контроля его выполнения, также реализовано в части доступа к DATAPK.
  • Secret Net Studio 8.5 - Сокрытие вводимой парольной информации и информации для доступа к памяти ЭИ. Защита от перехвата пароля при сетевых обращениях
  • Secret Net Studio - C 8.5 - Сокрытие вводимой парольной информации и информации для доступа к памяти ЭИ. Защита от перехвата пароля при сетевых обращениях
  • Secret Net LSP 1.9 - Сокрытие вводимой парольной информации и информации для доступа к памяти ЭИ.
  • ПАК “Соболь” 3.0.9 (M2) - Сокрытие вводимой парольной информации. Полный контроль над USB-интерфейсом (для USB-идентификаторов) и выделенный канал передачи данных для iButton
  • Соболь 4.2 - Сокрытие вводимой парольной информации. Полный контроль над USB-интерфейсом (для USB-идентификаторов) и выделенный канал передачи данных для iButton
  • АПКШ Континент 3.7 - Шифрованный канал
  • Континент-АП + Сервер доступа 3.7 - Шифрованный канал Сокрытие вводимой парольной информации.
  • vGate 4.0 - Сокрытие вводимой парольной информации, защита от перехвата вводимого пароля, кодированный канал при сетевой аутентификации

Аналоги в других приказах ФСТЭК России:

  • Приказ 31 — ИАФ.7

Наверх

Обратно к I. Идентификация и аутентификация (ИАФ)

II. Управление доступом (УПД)

Наверх

УПД.0 Регламентация правил и процедур управления доступом

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.1 Управление учетными записями пользователей

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.2 Реализация модели управления доступом

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.3 Доверенная загрузка

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

УПД.4 Разделение полномочий (ролей) пользователей

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.5 Назначение минимально необходимых прав и привилегий

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.6 Ограничение неуспешных попыток доступа в информационную (автоматизированную) систему

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.7 Предупреждение пользователя при его доступе к информационным ресурсам

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

УПД.8 Оповещение пользователя при успешном входе о предыдущем доступе к информационной (автоматизированной) системе

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

УПД.9 Ограничение числа параллельных сеансов доступа

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

УПД.10 Блокирование сеанса доступа пользователя при неактивности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.11 Управление действиями пользователей до идентификации и аутентификации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.12 Управление атрибутами безопасности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

УПД.13 Реализация защищенного удаленного доступа

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УПД.14 Контроль доступа из внешних информационных (автоматизированных) систем

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

III. Ограничение программной среды (ОПС)

Наверх

ОПС.0 Регламентация правил и процедур ограничения программной среды

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ОПС.1 Управление запуском (обращениями) компонентов программного обеспечения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

ОПС.2 Управление установкой (инсталляцией) компонентов программного обеспечения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ОПС.3 Управление временными файлами

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

IV. Защита машинных носителей информации (ЗНИ)

Наверх

ЗНИ.0 Регламентация правил и процедур защиты машинных носителей информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗНИ.1 Учет машинных носителей информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗНИ.2 Управление физическим доступом к машинным носителям информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗНИ.3 Контроль перемещения машинных носителей информации за пределы контролируемой зоны

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗНИ.4 Исключение возможности несанкционированного чтения информации на машинных носителях информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗНИ.5 Контроль использования интерфейсов ввода (вывода) информации на съемные машинные носители информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗНИ.6 Контроль ввода (вывода) информации на съемные машинные носители информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

ЗНИ.7 Контроль подключения съемных машинных носителей информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗНИ.8 Уничтожение (стирание) информации на машинных носителях информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

V. Аудит безопасности (АУД)

Наверх

АУД.0 Регламентация правил и процедур аудита безопасности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.1 Инвентаризация информационных ресурсов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.2 Анализ уязвимостей и их устранение

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.3 Генерирование временных меток и (или) синхронизация системного времени

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.4 Регистрация событий безопасности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.5 Контроль и анализ сетевого трафика

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

АУД.6 Защита информации о событиях безопасности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.7 Мониторинг безопасности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.8 Реагирование на сбои при регистрации событий безопасности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.9 Анализ действий отдельных пользователей

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

АУД.10 Проведение внутренних аудитов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АУД.11 Проведение внешних аудитов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

VI. Антивирусная защита (АВЗ)

Наверх

АВЗ.0 Регламентация правил и процедур антивирусной защиты

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АВЗ.1 Реализация антивирусной защиты

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АВЗ.2 Антивирусная защита электронной почты и иных сервисов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АВЗ.3 Контроль использования архивных, исполняемых и зашифрованных файлов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

АВЗ.4 Обновление базы данных признаков вредоносных компьютерных программ (вирусов)

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

АВЗ.5 Использование средств антивирусной защиты различных производителей

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

VII. Предотвращение вторжений (компьютерных атак) (СОВ)

Наверх

СОВ.0 Регламентация правил и процедур предотвращения вторжений (компьютерных атак)

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

СОВ.1 Обнаружение и предотвращение компьютерных атак

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

СОВ.2 Обновление базы решающих правил

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

VIII. Обеспечение целостности (ОЦЛ)

Наверх

ОЦЛ.0 Регламентация правил и процедур обеспечения целостности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОЦЛ.1 Контроль целостности программного обеспечения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОЦЛ.2 Контроль целостности информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ОЦЛ.3 Ограничения по вводу информации в информационную (автоматизированную) систему

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

ОЦЛ.4 Контроль данных, вводимых в информационную (автоматизированную) систему

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ОЦЛ.5 Контроль ошибочных действий пользователей по вводу и (или) передаче информации и предупреждение пользователей об ошибочных действиях

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ОЦЛ.6 Обезличивание и (или) деидентификация информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

IX. Обеспечение доступности (ОДТ)

Наверх

ОДТ.0 Регламентация правил и процедур обеспечения доступности

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОДТ.1 Использование отказоустойчивых технических средств

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ОДТ.2 Резервирование средств и систем

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ОДТ.3 Контроль безотказного функционирования средств и систем

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ОДТ.4 Резервное копирование информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОДТ.5 Обеспечение возможности восстановления информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОДТ.6 Обеспечение возможности восстановления программного обеспечения при нештатных ситуациях

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОДТ.7 Кластеризация информационной (автоматизированной) системы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ОДТ.8 Контроль предоставляемых вычислительных ресурсов и каналов связи

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

X. Защита технических средств и систем (ЗТС)

Наверх

ЗТС.0 Регламентация правил и процедур защиты технических средств и систем

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗТС.1 Защита информации от утечки по техническим каналам

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗТС.2 Организация контролируемой зоны

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗТС.3 Управление физическим доступом

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗТС.4 Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗТС.5 Защита от внешних воздействий

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗТС.6 Маркирование аппаратных компонентов системы относительно разрешенной к обработке информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

XI. Защита информационной (автоматизированной) системы и ее компонентов (ЗИС)

Наверх

ЗИС.0 Регламентация правил и процедур защиты информационной (автоматизированной) системы и ее компонентов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.1 Разделение функций по управлению (администрированию) информационной (автоматизированной) системой с иными функциями

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.2 Защита периметра информационной (автоматизированной) системы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.3 Эшелонированная защита информационной (автоматизированной) системы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.4 Сегментирование информационной (автоматизированной) системы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ЗИС.5 Организация демилитаризованной зоны

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.6 Управление сетевыми потоками

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.7 Использование эмулятора среды функционирования программного обеспечения (“песочница”)

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.8 Сокрытие архитектуры и конфигурации информационной (автоматизированной) системы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.9 Создание гетерогенной среды

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.10 Использование программного обеспечения, функционирующего в средах различных операционных систем

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.11 Предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.12 Изоляция процессов (выполнение программ) в выделенной области памяти

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.13 Защита неизменяемых данных

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ЗИС.14 Использование неперезаписываемых машинных носителей информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.15 Реализация электронного почтового обмена с внешними сетями через ограниченное количество контролируемых точек

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.16 Защита от спама

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ЗИС.17 Защита информации от утечек

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.18 Блокировка доступа к сайтам или типам сайтов, запрещенных к использованию

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.19 Защита информации при ее передаче по каналам связи

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.20 Обеспечение доверенных канала, маршрута

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.21 Запрет несанкционированной удаленной активации периферийных устройств

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.22 Управление атрибутами безопасности при взаимодействии с иными информационными (автоматизированными) системами

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.23 Контроль использования мобильного кода

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.24 Контроль передачи речевой информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.25 Контроль передачи видеоинформации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.26 Подтверждение происхождения источника информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.27 Обеспечение подлинности сетевых соединений

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ЗИС.28 Исключение возможности отрицания отправки информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.29 Исключение возможности отрицания получения информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.30 Использование устройств терминального доступа

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.31 Защита от скрытых каналов передачи информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.32 Защита беспроводных соединений

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.33 Исключение доступа через общие ресурсы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер +    

ЗИС.34 Защита от угроз отказа в обслуживании (DOS, DDOS-атак)

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.35 Управление сетевыми соединениями

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.36 Создание (эмуляция) ложных компонентов информационных (автоматизированных) систем

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.37 Перевод информационной (автоматизированной) системы в безопасное состояние при возникновении отказов (сбоев)

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

ЗИС.38 Защита информации при использовании мобильных устройств

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ЗИС.39 Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

XII. Реагирование на компьютерные инциденты (ИНЦ)

Наверх

ИНЦ.0 Регламентация правил и процедур реагирования на компьютерные инциденты

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИНЦ.1 Выявление компьютерных инцидентов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИНЦ.2 Информирование о компьютерных инцидентах

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИНЦ.3 Анализ компьютерных инцидентов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИНЦ.4 Устранение последствий компьютерных инцидентов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИНЦ.5 Принятие мер по предотвращению повторного возникновения компьютерных инцидентов

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИНЦ.6 Хранение и защита информации о компьютерных инцидентах

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

XIII. Управление конфигурацией (УКФ)

Наверх

УКФ.0 Регламентация правил и процедур управления конфигурацией информационной (автоматизированной) системы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УКФ.1 Идентификация объектов управления конфигурацией

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

УКФ.2 Управление изменениями

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УКФ.3 Установка (инсталляция) только разрешенного к использованию программного обеспечения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

УКФ.4 Контроль действий по внесению изменений

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

XIV. Управление обновлениями программного обеспечения (ОПО)

Наверх

ОПО.0 Регламентация правил и процедур  управления обновлениями программного обеспечения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОПО.1 Поиск, получение обновлений программного обеспечения от доверенного источника

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОПО.2 Контроль целостности обновлений программного обеспечения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОПО.3 Тестирование обновлений программного обеспечения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ОПО.4 Установка обновлений программного обеспечения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

XV. Планирование мероприятий по обеспечению безопасности (ПЛН)

Наверх

ПЛН.0 Регламентация правил и процедур планирования мероприятий по обеспечению защиты информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ПЛН.1 Разработка, утверждение и актуализация плана мероприятий по обеспечению защиты информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ПЛН.2 Контроль выполнения мероприятий по обеспечению защиты информации

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

XVI. Обеспечение действий в нештатных  ситуациях (ДНС)

Наверх

ДНС.0 Регламентация правил и процедур обеспечения действий в нештатных  ситуациях

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ДНС.1 Разработка плана действий в нештатных ситуациях

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ДНС.2 Обучение и отработка действий персонала в нештатных ситуациях

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ДНС.3 Создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ДНС.4 Резервирование программного обеспечения, технических средств, каналов связи на случай возникновения нештатных  ситуаций

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ДНС.5 Обеспечение возможности восстановления информационной (автоматизированной) системы в случае возникновения нештатных ситуаций

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ДНС.5 Анализ возникших нештатных ситуаций и принятие мер по недопущению их повторного возникновения

Категория значимости 1 2 3
Наличие требования в Базовом набор мер      

XVII. Информирование и обучение персонала (ИПО)

Наверх

ИПО.0 Регламентация правил и процедур информирования и обучения персонала

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИПО.1 Информирование персонала об угрозах безопасности информации и о правилах безопасной работы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИПО.2 Обучение персонала правилам безопасной работы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

ИПО.3 Проведение практических занятий с персоналом по правилам безопасной работы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + +  

ИПО.4 Контроль осведомленности персонала об угрозах безопасности информации и о правилах безопасной работы

Категория значимости 1 2 3
Наличие требования в Базовом набор мер + + +

Меры защиты информации в информационных системах

В стадии наполнения.

Содержание мер по обеспечению безопасности персональных данных

В стадии наполнения.

Меры защиты информации в автоматизированных системах управления

В стадии наполнения.