Типовые требования Информационной Безопасности
Типовые требования ИБ сформированы для внедрения коробочного решения системы автоматического прокторинга (Системы) в соответствии с Приказ ФСТЭК России от 18 февраля 2013 г. N 21 и направлены на обеспечение защиты информации, обрабатываемой в Системе.
Выбор применяемых требований ИБ определен с учетом:
- Вида ИС - ПДн;
- Уровня защищенности ПДн, обрабатываемых в ИСПДн, устанавливаемого требованиями законодательства по обеспечению безопасности ПДн УЗ-3.
В случае необходимости обработки в Системе информации, относящейся к другим категориям настоящие требования должны быть пересмотрены.
При внедрении коробочного решения системы автоматического прокторинга Заказчик, выступающий в роли оператора персональных данных, должен реализовать в организации следующие меры по обеспечению защиты информации:
I. Идентификация и аутентификация субъектов доступа и объектов доступа
- Идентификация и аутентификация пользователей, являющихся работниками оператора
- Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов
- Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации
- Защита обратной связи при вводе аутентификационной информации
- Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей)
II. Управление доступом субъектов доступа к объектам доступа
- Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей
- Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа
- Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами ИСПДн, а также между ИСПДН
- Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование ИСПДн
- Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование ИСПДн
- Ограничение неуспешных попыток входа в ИСПДн (доступа к ИСПДн)
- Блокирование сеанса доступа в ИСПДн после установленного времени бездействия (неактивности) пользователя или по его запросу
- Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации
- Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети
- Регламентация и контроль использования в ИСПДн технологий беспроводного доступа
- Регламентация и контроль использования в ИСПДн мобильных технических средств
- Управление взаимодействием с ИСПДн сторонних организаций (внешние ИСПДн)
III. Защита машинных носителей персональных данных
- Уничтожение (стирание) или обезличивание персональных данных на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания
IV. Регистрация событий безопасности
- Определение событий безопасности, подлежащих регистрации, и сроков их хранения
- Определение состава и содержания информации о событиях безопасности, подлежащих регистрации
- Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения
- Защита информации о событиях безопасности
V. Антивирусная защита
- Реализация антивирусной защиты
- Обновление базы данных признаков вредоносных компьютерных программ (вирусов)
VI. Контроль (анализ) защищенности персональных данных - Выявление, анализ уязвимостей ИСПДн и оперативное устранение вновь выявленных уязвимостей
- Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации
- Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации
- Контроль состава технических средств, программного обеспечения и средств защиты информации
VII. Защита среды виртуализации
- Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации
- Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин
- Регистрация событий безопасности в виртуальной инфраструктуре
- Реализация и управление антивирусной защитой в виртуальной инфраструктуре
- Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки персональных данных отдельным пользователем и (или) группой пользователей
VIII. Защита технических средств
- Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования ИСПДн, в помещения и сооружения, в которых они установлены
- Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр
IX. Защита ИСПДн, ее средств, систем связи и передачи данных
- Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи
- Защита беспроводных соединений, применяемых в ИСПДН
X. Управление конфигурацией ИСПДн и системы защиты персональных данных
- Определение лиц, которым разрешены действия по внесению изменений в конфигурацию ИСПДн и системы защиты персональных данных
- Управление изменениями конфигурации ИСПДн и системы защиты персональных данных
- Анализ потенциального воздействия планируемых изменений в конфигурации ИСПДн и системы защиты персональных данных на обеспечение защиты персональных данных и согласование изменений в конфигурации ИСПДн с должностным лицом (работником), ответственным за обеспечение безопасности персональных данных
- Документирование информации (данных) об изменениях в конфигурации ИСПДн и системы защиты персональных данных