ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ
ПРИКАЗ
Москва
9 августа 2018 г. № 138
О внесении изменений в Требования к обеспечению защиты
информации в автоматизированных системах управления
производственными и технологическими процессами на
критически важных объектах, потенциально опасных
объектах, а также объектах, представляющих повышенную
опасность для жизни и здоровья людей и для окружающей
природной среды, утвержденные приказом Федеральной службы
по техническому и экспортному контролю от 14 марта
2014 г. № 31, и в Требования по обеспечению безопасности
значимых объектов критической информационной
инфраструктуры Российской Федерации, утвержденные
приказом Федеральной службы по техническому и экспортному
контролю от 25 декабря 2017 г. № 239
Зарегистрирован Минюстом России 5 сентября 2018 г.
Регистрационный № 52071
Внести в Требования к обеспечению защиты информации в
автоматизированных системах управления производственными и
технологическими процессами на критически важных объектах,
потенциально опасных объектах, а также объектах, представляющих
повышенную опасность для жизни и здоровья людей и для окружающей
природной среды, утвержденные приказом Федеральной службы по
техническому и экспортному контролю от 14 марта 2014 г. № 31
(зарегистрирован Министерством юстиции Российской Федерации 30 июня
2014 г., регистрационный № 32919) (с изменениями, внесёнными
приказом Федеральной службы по техническому и экспортному контролю
от 23 марта 2017 г. № 49 (зарегистрирован Министерством юстиции
Российской Федерации 25 апреля 2017 г., регистрационный № 46487), и
в Требования по обеспечению безопасности значимых объектов
критической информационной инфраструктуры Российской Федерации,
утвержденные приказом Федеральной службы по техническому и
экспортному контролю от 25 декабря 2017 г. № 239 (зарегистрирован
Министерством юстиции Российской Федерации 26 марта 2018 г.,
регистрационный № 50524) изменения согласно приложению к настоящему
приказу.
ДИРЕКТОР ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО
ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ В.СЕЛИН
_____________
Приложение
к приказу ФСТЭК России
9 августа 2018 г. № 138
Изменения, которые вносятся в Требования к обеспечению
защиты информации в автоматизированных системах
управления производственными и технологическими
процессами на критически важных объектах, потенциально
опасных объектах, а также объектах, представляющих
повышенную опасность для жизни и здоровья людей и для
окружающей природной среды, утвержденные приказом
Федеральной службы по техническому и экспортному контролю
от 14 марта 2014 г. № 31, и в Требования по обеспечению
безопасности значимых объектов критической информационной
инфраструктуры Российской Федерации, утвержденные
приказом Федеральной службы по техническому и экспортному
контролю от 25 декабря 2017 г. № 239
1. В Требованиях к обеспечению защиты информации в
автоматизированных системах управления производственными и
технологическими процессами на критически важных объектах,
потенциально опасных объектах, а также объектах, представляющих
повышенную опасность для жизни и здоровья людей и для окружающей
природной среды, утвержденных приказом Федеральной службы по
техническому и экспортному контролю от 14 марта 2014 г. № 31:
1) пункт 1 после абзаца первого дополнить абзацем следующего
содержания:
"Обеспечение безопасности автоматизированных систем
управления, являющихся значимыми объектами критической
информационной инфраструктуры Российской Федерации, осуществляется
в соответствии с Требованиями по обеспечению безопасности значимых
объектов критической информационной инфраструктуры Российской
Федерации, утвержденными приказом Федеральной службы по
техническому и экспортному контролю от 25 декабря 2017 г. № 239, а
также Требованиями к созданию систем безопасности значимых объектов
критической информационной инфраструктуры Российской Федерации и
обеспечению их функционирования, утвержденными приказом Федеральной
службы по техническому и экспортному контролю от 21 декабря 2017 г.
№ 235 (зарегистрирован Минюстом России 22 февраля 2018 г.,
регистрационный № 50118).";
2) абзацы первый - четвертый подпункта 13.3 пункта 13 изложить
в следующей редакции:
"13.3. Определение угроз безопасности информации
осуществляется на каждом из уровней автоматизированной системы
управления и должно включать:
а) выявление источников угроз безопасности информации и оценку
возможностей (потенциала) внешних и внутренних нарушителей;
б) анализ возможных уязвимостей автоматизированной системы и
входящих в ее состав программных и программно-аппаратных средств;
в) определение возможных способов (сценариев) реализации
(возникновения) угроз безопасности информации;
г) оценку возможных последствий от реализации (возникновения)
угроз безопасности информации, нарушения отдельных свойств
безопасности информации (целостности, доступности,
конфиденциальности) и автоматизированной системы управления в
целом.
В качестве исходных данных при определении угроз безопасности
информации используется банк данных угроз безопасности информации,
ведение которого осуществляется ФСТЭК России в соответствии с
подпунктом 21 пункта 8 Положения о Федеральной службе по
техническому и экспортному контролю, утвержденного Указом
Президента Российской Федерации от 16 августа 2004 г. № 1085
(Собрание законодательства Российской Федерации, 2004, № 34,
ст. 3541; 2006, № 49, ст. 5192; 2008, № 43, ст. 4921; № 47,
ст. 5431; 2012, № 7, ст. 818; 2013, № 26, ст. 3314; № 52, ст. 7137;
2014, № 36, ст. 4833; № 44, ст. 6041; № 4, ст. 641; 2016, № 1,
ст. 211; 2017, № 48, ст. 7198; 2018, № 20, ст. 2818), а также иные
источники, содержащие сведения об уязвимостях и угрозах
безопасности информации.";
3) в подпункте 15.3 пункта 15:
после абзаца второго дополнить абзацем следующего содержания:
"определение администратора безопасности информации;";
в абзаце четвертом после слов "персонала автоматизированной
системы управления" дополнить словами "и администратора
безопасности информации";
4) пункт 18 изложить в следующей редакции:
"18. Организационные и технические меры защиты информации,
реализуемые в автоматизированной системе управления в рамках ее
системы защиты, в зависимости от класса защищенности, угроз
безопасности информации, используемых технологий и
структурно-функциональных характеристик автоматизированной системы
управления и особенностей ее функционирования должны обеспечивать:
идентификацию и аутентификацию (ИАФ);
управление доступом (УПД);
ограничение программной среды (ОПС);
защиту машинных носителей информации (ЗНИ);
аудит безопасности (АУД);
антивирусную защиту (АВЗ);
предотвращение вторжений (компьютерных атак) (СОВ);
обеспечение целостности (ОЦЛ);
обеспечение доступности (ОДТ);
защиту технических средств и систем (ЗТС);
защиту информационной (автоматизированной) системы и ее
компонентов (ЗИС);
реагирование на компьютерные инциденты (ИНЦ);
управление конфигурацией (УКФ);
управление обновлениями программного обеспечения (ОПО);
планирование мероприятий по обеспечению безопасности (ПЛН);
обеспечение действий в нештатных ситуациях (ДНС);
информирование и обучение персонала (ИПО).
Состав мер защиты информации и их базовые наборы для
соответствующих классов защищенности автоматизированных систем
управления приведены в приложении № 2 к настоящим Требованиям.
Содержание мер и правила их реализации устанавливаются
методическим документом, разработанным ФСТЭК России в соответствии
с пунктом 5 и подпунктом 4 пункта 8 Положения о Федеральной службе
по техническому и экспортному контролю, утвержденного Указом
Президента Российской Федерации от 16 августа 2004 г. № 1085.";
5) подпункты 18.1 - 18.21 пункта 18 признать утратившими силу.
6) приложение № 2 к указанным Требованиям изложить в следующей
редакции:
"Приложение № 2
к Требованиям к обеспечению защиты
информации в автоматизированных
системах управления производственными
и технологическими процессами
на критически важных объектах,
потенциально опасных объектах,
а также объектах, представляющих
повышенную опасность для
жизни и здоровья людей
и для окружающей природной среды
Состав мер защиты информации
и их базовые наборы для соответствующего класса
защищенности автоматизированной системы управления
|--------|--------------------------------------|------------------|
|Условное| Меры защиты информации в | Классы |
|обозна- |автоматизированных системах управления| защищенности |
|чение и | |автоматизированной|
| номер | |системы управления|
| меры | | |
| | |-----|-----|------|
| | | 3 | 2 | 1 |
|--------|--------------------------------------|-----|-----|------|
| I. Идентификация и аутентификация (ИАФ) |
|--------|--------------------------------------|-----|-----|------|
| ИАФ.0 | Разработка политики идентификации и | + | + | + |
| | аутентификации | | | |
|--------|--------------------------------------|-----|-----|------|
| ИАФ.1 | Идентификация и аутентификация | + | + | + |
| | пользователей и инициируемых ими | | | |
| | процессов | | | |
|--------|--------------------------------------|-----|-----|------|
| ИАФ.2 | Идентификация и аутентификация | + | + | + |
| | устройств | | | |
|--------|--------------------------------------|-----|-----|------|
| ИАФ.3 | Управление идентификаторами | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ИАФ.4 | Управление средствами аутентификации | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ИАФ.5 |Идентификация и аутентификация внешних| + | + | + |
| | пользователей | | | |
|--------|--------------------------------------|-----|-----|------|
| ИАФ.6 | Двусторонняя аутентификация | | | |
|--------|--------------------------------------|-----|-----|------|
| ИАФ.7 | Защита аутентификационной информации | + | + | + |
| | при передаче | | | |
|--------|--------------------------------------|-----|-----|------|
| II. Управление доступом (УПД) |
|--------|--------------------------------------|-----|-----|------|
| УПД.0 | Разработка политики управления | + | + | + |
| | доступом | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.1 | Управление учетными записями | + | + | + |
| | пользователей | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.2 |Реализация политик управления доступа | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| УПД.3 | Доверенная загрузка | | + | + |
|--------|--------------------------------------|-----|-----|------|
| УПД.4 | Разделение полномочий (ролей) | + | + | + |
| | пользователей | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.5 |Назначение минимально необходимых прав| + | + | + |
| | и привилегий | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.6 |Ограничение неуспешных попыток доступа| + | + | + |
| |в информационную (автоматизированную) | | | |
| | систему | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.7 | Предупреждение пользователя при его | | | |
| | доступе к информационным ресурсам | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.8 | Оповещение пользователя при успешном | | | + |
| | входе предыдущем доступе к | | | |
| | информационной (автоматизированной) | | | |
| | системе | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.9 |Ограничение числа параллельных сеансов| | | + |
| | доступа | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.10 | Блокирование сеанса доступа | + | + | + |
| | пользователя при неактивности | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.11 |Управление действиями пользователей до| + | + | + |
| | идентификации и аутентификации | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.12 | Управление атрибутами безопасности | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.13 | Реализация защищенного удаленного | + | + | + |
| | доступа | | | |
|--------|--------------------------------------|-----|-----|------|
| УПД.14 | Контроль доступа из внешних | + | + | + |
| | информационных (автоматизированных) | | | |
| | систем | | | |
|--------|--------------------------------------|-----|-----|------|
| III. Ограничение программной среды (ОПС) |
|--------|--------------------------------------|-----|-----|------|
| ОПС.0 | Разработка политики ограничения | | + | + |
| | программной среды | | | |
|--------|--------------------------------------|-----|-----|------|
| ОПС.1 | Управление запуском (обращениями) | | | + |
| | компонентов программного обеспечения | | | |
|--------|--------------------------------------|-----|-----|------|
| ОПС.2 | Управление установкой (инсталляцией) | | + | + |
| | компонентов программного обеспечения | | | |
|--------|--------------------------------------|-----|-----|------|
| ОПС.3 | Управление временными файлами | | | |
|--------|--------------------------------------|-----|-----|------|
| IV. Защита машинных носителей информации (ЗНИ) |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.0 | Разработка политики защиты машинных | + | + | + |
| | носителей информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.1 | Учет машинных носителей информации | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.2 | Управление физическим доступом к | + | + | + |
| | машинным носителям информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.3 | Контроль перемещения машинных | | | |
| | носителей информации за пределы | | | |
| | контролируемой зоны | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.4 | Исключение возможности | | | |
| |несанкционированного чтения информации| | | |
| | на машинных носителях информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.5 | Контроль использования интерфейсов | + | + | + |
| |ввода (вывода) информации на машинные | | | |
| | носители информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.6 |Контроль ввода (вывода) информации на | | | + |
| | машинные носители информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.7 | Контроль подключения машинных | + | + | + |
| | носителей информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.8 | Уничтожение (стирание) информации на | + | + | + |
| | машинных носителях информации | | | |
|--------|--------------------------------------|-----|-----|------|
| V. Аудит безопасности (АУД) |
|--------|--------------------------------------|-----|-----|------|
| АУД.0 | Разработка политики аудита | + | + | + |
| | безопасности | | | |
|--------|--------------------------------------|-----|-----|------|
| АУД.1 |Инвентаризация информационных ресурсов| + | + | + |
|--------|--------------------------------------|-----|-----|------|
| АУД.2 | Анализ уязвимостей и их устранение | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| АУД.3 |Генерирование временных меток и (или) | + | + | + |
| | синхронизация системного времени | | | |
|--------|--------------------------------------|-----|-----|------|
| АУД.4 | Регистрация событий безопасности | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| АУД.5 | Контроль и анализ сетевого трафика | | | + |
|--------|--------------------------------------|-----|-----|------|
| АУД.6 | Защита информации о событиях | + | + | + |
| | безопасности | | | |
|--------|--------------------------------------|-----|-----|------|
| АУД.7 | Мониторинг безопасности | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| АУД.8 | Реагирование на сбои при регистрации | + | + | + |
| | событий безопасности | | | |
|--------|--------------------------------------|-----|-----|------|
| АУД.9 | Анализ действий пользователей | | | + |
|--------|--------------------------------------|-----|-----|------|
| АУД.10 | Проведение внутренних аудитов | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| АУД.11 | Проведение внешних аудитов | | | + |
|--------|--------------------------------------|-----|-----|------|
| VI. Антивирусная защита (АВЗ) |
|--------|--------------------------------------|-----|-----|------|
| АВЗ.0 | Разработка политики антивирусной | + | + | + |
| | защиты | | | |
|--------|--------------------------------------|-----|-----|------|
| АВ3.1 | Реализация антивирусной защиты | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| АВ3.2 |Антивирусная защита электронной почты | + | + | + |
| | и иных сервисов | | | |
|--------|--------------------------------------|-----|-----|------|
| АВЗ.3 | Контроль использования архивных, | | | + |
| | исполняемых и зашифрованных файлов | | | |
|--------|--------------------------------------|-----|-----|------|
| АВ3.4 | Обновление базы данных признаков | + | + | + |
| | вредоносных компьютерных программ | | | |
| | (вирусов) | | | |
|--------|--------------------------------------|-----|-----|------|
| АВ3.5 | Использование средств антивирусной | | | + |
| | защиты различных производителей | | | |
|--------|--------------------------------------|-----|-----|------|
| VII. Предотвращение вторжений (компьютерных атак) (СОВ) |
|--------|--------------------------------------|-----|-----|------|
| СОВ.0 | Разработка политики предотвращения | | + | + |
| | вторжений (компьютерных атак) | | | |
|--------|--------------------------------------|-----|-----|------|
| СОВ.1 | Обнаружение и предотвращение | | + | + |
| | компьютерных атак | | | |
|--------|--------------------------------------|-----|-----|------|
| СОВ.2 | Обновление базы решающих правил | | + | + |
|--------|--------------------------------------|-----|-----|------|
| VIII. Обеспечение целостности (ОЦЛ) |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.0 | Разработка политики обеспечения | + | + | + |
| | целостности | | | |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.1 | Контроль целостности программного | + | + | + |
| | обеспечения | | | |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.2 | Контроль целостности информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.3 | Ограничения по вводу информации в | | | + |
| | информационную (автоматизированную) | | | |
| | систему | | | |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.4 | Контроль данных, вводимых в | | + | + |
| | информационную (автоматизированную) | | | |
| | систему | | | |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.5 | Контроль ошибочных действий | | + | + |
| | пользователей по вводу и (или) | | | |
| | передаче информации и предупреждение | | | |
| | пользователей об ошибочных действиях | | | |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.6 |Обезличивание и (или) деидентификация | | | |
| | информации | | | |
|--------|--------------------------------------|-----|-----|------|
| IX. Обеспечение доступности (ОДТ) |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.0 | Разработка политики обеспечения | + | + | + |
| | доступности | | | |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.1 | Использование отказоустойчивых | | + | + |
| | технических средств | | | |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.2 | Резервирование средств и систем | | + | + |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.3 |Контроль безотказного функционирования| | + | + |
| | средств и систем | | | |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.4 | Резервное копирование информации | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.5 |Обеспечение возможности восстановления| + | + | + |
| | информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.6 |Обеспечение возможности восстановления| + | + | + |
| |программного обеспечения при нештатных| | | |
| | ситуациях | | | |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.7 | Кластеризация информационной | | | |
| | (автоматизированной) системы | | | |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.8 | Контроль предоставляемых | + | + | + |
| | вычислительных ресурсов и каналов | | | |
| | связи | | | |
|--------|--------------------------------------|-----|-----|------|
| X. Защита технических средств и систем (ЗТС) |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.0 |Разработка политики защиты технических| + | + | + |
| | средств и систем | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.1 | Защита информации от утечки по | | | |
| | техническим каналам | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.2 | Организация контролируемой зоны | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.3 | Управление физическим доступом | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.4 | Размещение устройств вывода | + | + | + |
| |(отображения) информации, исключающее | | | |
| | ее несанкционированный просмотр | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.5 | Защита от внешних воздействий | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.6 | Маркирование аппаратных компонентов | | | |
| | системы относительно разрешенной к | | | |
| | обработке информации | | | |
|--------|--------------------------------------|-----|-----|------|
| XI. Защита информационной (автоматизированной) системы и ее |
| компонентов (ЗИС) |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.0 | Разработка политики защиты | + | + | + |
| | информационной (автоматизированной) | | | |
| | системы и ее компонентов | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.1 | Разделение функций по управлению | + | + | + |
| | (администрированию) информационной | | | |
| |(автоматизированной) системой с иными | | | |
| | функциями | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.2 | Защита периметра информационной | + | + | + |
| | (автоматизированной) системы | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.3 |Эшелонированная защита информационной | + | + | + |
| | (автоматизированной) системы | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.4 | Сегментирование информационной | | + | + |
| | (автоматизированной) системы | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.5 | Организация демилитаризованной зоны | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.6 | Управление сетевыми потоками | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.7 | Использование эмулятора среды | | | |
| | функционирования программного | | | |
| | обеспечения ("песочница") | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.8 | Сокрытие архитектуры и конфигурации | + | + | + |
| | информационной (автоматизированной) | | | |
| | системы | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.9 | Создание гетерогенной среды | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.10 | Использование программного | | | |
| |обеспечения, функционирующего в средах| | | |
| | различных операционных систем | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.11 |Предотвращение задержки или прерывания| | | |
| | выполнения процессов с высоким | | | |
| | приоритетом со стороны процессов с | | | |
| | низким приоритетом | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.12 | Изоляция процессов (выполнение | | | |
| |программ) в выделенной области памяти | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.13 | Защита неизменяемых данных | | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.14 | Использование неперезаписываемых | | | |
| | машинных носителей информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.15 | Реализация электронного почтового | | | |
| | обмена с внешними сетями через | | | |
| |ограниченное количество контролируемых| | | |
| | точек | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.16 | Защита от спама | | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.17 | Защита информации от утечек | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.18 |Блокировка доступа к сайтам или типам | | | |
| | сайтов, запрещенных к использованию | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.19 | Защита информации при ее передаче по | + | + | + |
| | каналам связи | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.20 | Обеспечение доверенных канала, | + | + | + |
| | маршрута | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.21 | Запрет несанкционированной удаленной | + | + | + |
| | активации периферийных устройств | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.22 |Управление атрибутами безопасности при| | | |
| |взаимодействии с иными информационными| | | |
| | (автоматизированными) системами | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.23 |Контроль использования мобильного кода| | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.24 | Контроль передачи речевой информации | | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.25 | Контроль передачи видеоинформации | | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.26 |Подтверждение происхождения источника | | | |
| | информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.27 | Обеспечение подлинности сетевых | | + | + |
| | соединений | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.28 | Исключение возможности отрицания | | + | + |
| | отправки информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.29 | Исключение возможности отрицания | | + | + |
| | получения информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.30 |Использование устройств терминального | | | |
| | доступа | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.31 | Защита от скрытых каналов передачи | | | + |
| | информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.32 | Защита беспроводных соединений | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.33 |Исключение доступа через общие ресурсы| | | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.34 |Защита от угроз отказа в обслуживании | + | + | + |
| | (DOS, DDOS-атак) | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.35 | Управление сетевыми соединениями | | + | + |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.36 |Создание (эмуляция) ложных компонентов| | | |
| | информационных (автоматизированных) | | | |
| | систем | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.37 | Перевод информационной | | | |
| | (автоматизированной) системы в | | | |
| |безопасное состояние при возникновении| | | |
| | отказов (сбоев) | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.38 | Защита информации при использовании | + | + | + |
| | мобильных устройств | | | |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.39 | Управление перемещением виртуальных | + | + | + |
| | машин (контейнеров) и обрабатываемых | | | |
| | на них данных | | | |
|--------|--------------------------------------|-----|-----|------|
| XII. Реагирование на компьютерные инциденты (ИНЦ) |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.0 | Разработка политики реагирования на | + | + | + |
| | компьютерные инциденты | | | |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.1 | Выявление компьютерных инцидентов | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.2 | Информирование о компьютерных | + | + | + |
| | инцидентах | | | |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.3 | Анализ компьютерных инцидентов | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.4 | Устранение последствий компьютерных | + | + | + |
| | инцидентов | | | |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.5 | Принятие мер по предотвращению | + | + | + |
| |повторного возникновения компьютерных | | | |
| | инцидентов | | | |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.6 | Хранение и защита информации о | | | + |
| | компьютерных инцидентах | | | |
|--------|--------------------------------------|-----|-----|------|
| XIII. Управление конфигурацией (УКФ) |
|--------|--------------------------------------|-----|-----|------|
| УКФ.0 | Разработка политики управления | + | + | + |
| | конфигурацией информационной | | | |
| | (автоматизированной) системы | | | |
|--------|--------------------------------------|-----|-----|------|
| УКФ.1 | Идентификация объектов управления | | | |
| | конфигурацией | | | |
|--------|--------------------------------------|-----|-----|------|
| УКФ.2 | Управление изменениями | + | + | + |
|--------|--------------------------------------|-----|-----|------|
| УКФ.3 | Установка (инсталляция) только | + | + | + |
| | разрешенного к использованию | | | |
| | программного обеспечения | | | |
|--------|--------------------------------------|-----|-----|------|
| УКФ.4 | Контроль действий по внесению | | | |
| | изменений | | | |
|--------|--------------------------------------|-----|-----|------|
| XIV. Управление обновлениями программного обеспечения (ОПО) |
|--------|--------------------------------------|-----|-----|------|
| ОПО.0 | Разработка политики управления | + | + | + |
| |обновлениями программного обеспечения | | | |
|--------|--------------------------------------|-----|-----|------|
| ОПО.1 | Поиск, получение обновлений | + | + | + |
| | программного обеспечения от | | | |
| | доверенного источника | | | |
|--------|--------------------------------------|-----|-----|------|
| ОПО.2 | Контроль целостности обновлений | + | + | + |
| | программного обеспечения | | | |
|--------|--------------------------------------|-----|-----|------|
| ОПО.3 | Тестирование обновлений программного | + | + | + |
| | обеспечения | | | |
|--------|--------------------------------------|-----|-----|------|
| ОПО.4 | Установка обновлений программного | + | + | + |
| | обеспечения | | | |
|--------|--------------------------------------|-----|-----|------|
| XV. Планирование мероприятий по обеспечению безопасности (ПЛН) |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.0 | Разработка политики планирования | + | + | + |
| | мероприятий по обеспечению защиты | | | |
| | информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.1 |Разработка, утверждение и актуализация| + | + | + |
| | плана мероприятий по обеспечению | | | |
| | защиты информации | | | |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.2 | Контроль выполнения мероприятий по | + | + | + |
| | обеспечению защиты информации | | | |
|--------|--------------------------------------|-----|-----|------|
| XVI. Обеспечение действий в нештатных ситуациях (ДНС) |
|--------|--------------------------------------|-----|-----|------|
| ДНС.0 | Разработка политики обеспечения | + | + | + |
| | действий в нештатных ситуациях | | | |
|--------|--------------------------------------|-----|-----|------|
| ДНС.1 |Разработка плана действий в нештатных | + | + | + |
| | ситуациях | | | |
|--------|--------------------------------------|-----|-----|------|
| ДНС.2 | Обучение и отработка действий | + | + | + |
| | персонала в нештатных ситуациях | | | |
|--------|--------------------------------------|-----|-----|------|
| ДНС.3 |Создание альтернативных мест хранения | | + | + |
| | и обработки информации на случай | | | |
| | возникновения нештатных ситуаций | | | |
|--------|--------------------------------------|-----|-----|------|
| ДНС.4 | Резервирование программного | | + | + |
| | обеспечения, технических средств, | | | |
| |каналов связи на случай возникновения | | | |
| | нештатных ситуаций | | | |
|--------|--------------------------------------|-----|-----|------|
| ДНС.5 |Обеспечение возможности восстановления| + | + | + |
| | информационной (автоматизированной) | | | |
| | системы в случае возникновения | | | |
| | нештатных ситуаций | | | |
|--------|--------------------------------------|-----|-----|------|
| ДНС.6 |Анализ возникших нештатных ситуаций и | + | + | + |
| | принятие мер по недопущению их | | | |
| | повторного возникновения | | | |
|--------|--------------------------------------|-----|-----|------|
| XVII. Информирование и обучение персонала (ИПО) |
|--------|--------------------------------------|-----|-----|------|
| ИПО.0 | Разработка политики информирования и | + | + | + |
| | обучения персонала | | | |
|--------|--------------------------------------|-----|-----|------|
| ИПО.1 | Информирование персонала об угрозах | + | + | + |
| | безопасности информации и о правилах | | | |
| | безопасной работы | | | |
|--------|--------------------------------------|-----|-----|------|
| ИПО.2 |Обучение персонала правилам безопасной| + | + | + |
| | работы | | | |
|--------|--------------------------------------|-----|-----|------|
| ИПО.3 | Проведение практических занятий с | | + | + |
| | персоналом по правилам безопасной | | | |
| | работы | | | |
|--------|--------------------------------------|-----|-----|------|
| ИПО.4 |Контроль осведомленности персонала об | + | + | + |
| | угрозах безопасности информации и о | | | |
| | правилах безопасной работы | | | |
|--------|--------------------------------------|-----|-----|------|
"+" - мера защиты информации включена в базовый набор мер для
соответствующего класса защищенности автоматизированной системы
управления.
Меры защиты информации, не обозначенные знаком "+",
применяются при адаптации и дополнении базового набора мер, а также
при разработке компенсирующих мер защиты информации в
автоматизированной системе управления соответствующего класса
защищенности.".
2. В приложении к Требованиям по обеспечению безопасности
значимых объектов критической информационной инфраструктуры
Российской Федерации, утвержденным приказом Федеральной службы по
техническому и экспортному контролю от 25 декабря 2017 г. № 239,
строку седьмую раздела XVI изложить в следующей редакции:
"
|------|------------------------------------------------|--|--|--|
|ДНС.6 |Анализ возникших нештатных ситуаций и принятие |+ |+ |+ |
| |мер по недопущению их повторного возникновения | | | |
|------|------------------------------------------------|--|--|--|
".
____________