Файл: Требования о защите информации, не составляющей государственную тайну, Содержащейся в государственных информационных системах.docx
ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 09.11.2023
Просмотров: 81
Скачиваний: 1
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
20.7. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в ИС, направленных на преднамеренный несанкционированный доступ к информации, специальные воздействия на ИС и (или) информацию в целях ее добывания, уничтожения, искажения и блокирования доступа к информации, а также реагирование на эти действия.
20.8. Меры по контролю (анализу) защищенности информации должны обеспечивать контроль уровня защищенности информации, содержащейся в ИС, путем проведения мероприятий по анализу защищенности ИС и тестированию ее СЗИ.
20.9. Меры по обеспечению целостности ИС и информации должны обеспечивать обнаружение фактов несанкционированного нарушения целостности ИС и содержащейся в ней информации, а также возможность восстановления ИС и содержащейся в ней информации.
20.10. Меры по обеспечению доступности информации должны обеспечивать авторизованный доступ пользователей, имеющих права по такому доступу, к информации, содержащейся в ИС, в штатном режиме функционирования ИС.
20.11. Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.
20.12. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим информацию, средствам, обеспечивающим функционирование ИС (далее - средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту информации, представленной в виде информативных электрических сигналов и физических полей.
20.13. Меры по защите ИС, ее средств, систем связи и передачи данных должны обеспечивать защиту информации при взаимодействии ИС или ее отдельных сегментов с иными ИС и ИТКС посредством применения архитектуры ИС, проектных решений по ее СЗИ, направленных на обеспечение защиты информации.
21. Выбор мер защиты информации для их реализации в ИС в рамках ее СЗИ включает:
определение базового набора мер защиты информации для установленного класса защищенности ИС в соответствии с базовыми наборами мер защиты информации, приведенными в приложении N 2 к настоящим Требованиям;
адаптацию базового набора мер защиты информации применительно к структурно-функциональным характеристикам ИС, информационным технологиям, особенностям функционирования ИС (в том числе предусматривающую исключение из базового набора мер защиты информации мер, непосредственно связанных с информационными технологиями, не используемыми в ИС, или структурно-функциональными характеристиками, не свойственными ИС);
уточнение адаптированного базового набора мер защиты информации с учетом не выбранных ранее мер защиты информации, приведенных в приложении N 2 к настоящим Требованиям, в результате чего определяются меры защиты информации, обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации, включенных в модель угроз безопасности информации;
дополнение уточненного адаптированного базового набора мер защиты информации мерами, обеспечивающими выполнение требований о защите информации, установленными иными нормативными правовыми актами в области защиты информации, в том числе в области защиты персональных данных.
Для выбора мер защиты информации для соответствующего класса защищенности ИС применяются методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.
22. В ИС соответствующего класса защищенности в рамках ее СЗИ должны быть реализованы меры защиты информации, выбранные в соответствии с пунктом 21 настоящих Требований и обеспечивающие блокирование (нейтрализацию) всех угроз безопасности информации.
При этом в ИС должен быть, как минимум, реализован адаптированный базовый набор мер защиты информации, соответствующий установленному классу защищенности ИС.
22.1. В случае если меры защиты информации, реализованные в инфраструктуре ЦОД, обеспечивают блокирование угроз безопасности информации
, актуальных для функционирующей на его базе ИС, принятие дополнительных мер защиты информации в данной ИС не требуется. При этом полномочия в части защиты информации должны быть распределены между оператором ИС и оператором инфраструктуры ЦОД.
(п. 22.1 введен Приказом ФСТЭК России от 28.05.2019 N 106)
23. При невозможности реализации в ИС в рамках ее СЗИ отдельных выбранных мер защиты информации на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации могут разрабатываться иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности информации.
В этом случае в ходе разработки СЗИ ИС должно быть проведено обоснование применения компенсирующих мер защиты информации, а при аттестационных испытаниях оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации.
24. Меры защиты информации выбираются и реализуются в ИС в рамках ее СЗИ с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации и облачных вычислений.
25. Организационные меры и средства защиты информации, применяемые в ИС, должны обеспечивать:
в ИС 1 класса защищенности - защиту от угроз безопасности информации, связанных с действиями нарушителей с высоким потенциалом;
в ИС 2 класса защищенности - защиту от угроз безопасности информации, связанных с действиями нарушителей с потенциалом не ниже усиленного базового;
в ИС 3 класса защищенности - защиту от угроз безопасности информации, связанных с действиями нарушителей с потенциалом не ниже базового.
Потенциал нарушителей определяется в ходе оценки их возможностей, проводимой при определении угроз безопасности информации в соответствии с пунктом 14.3 настоящих Требований.
Оператором может быть принято решение о применении в ИС соответствующего класса защищенности мер защиты информации, обеспечивающих защиту от угроз безопасности информации, реализуемых нарушителями с более высоким потенциалом.
(п. 25 в ред. Приказа ФСТЭК России от 15.02.2017 N 27)
26. Технические меры защиты информации реализуются посредством применения средств защиты информации, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности. При этом:
в ИС 1 класса защищенности применяются средства защиты информации не ниже 4 класса, а также средства вычислительной техники не ниже 5 класса;
в ИС 2 класса защищенности применяются средства защиты информации не ниже 5 класса, а также средства вычислительной техники не ниже 5 класса;
в ИС 3 класса защищенности применяются средства защиты информации 6 класса, а также средства вычислительной техники не ниже 5 класса.
В ИС 1 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В ИС 2 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В ИС 3 класса защищенности применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия.
(в ред. Приказа ФСТЭК России от 28.05.2019 N 106)
Классы защиты и уровни доверия определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.
(в ред. Приказа ФСТЭК России от 28.05.2019 N 106)
В ИС применяются средства защиты информации, сертифицированные на соответствие обязательным требованиям по безопасности информации, установленным ФСТЭК России, или на соответствие требованиям, указанным в технических условиях (заданиях по безопасности). При этом функции безопасности таких средств должны обеспечивать выполнение настоящих Требований.
(п. 26 в ред. Приказа ФСТЭК России от 15.02.2017 N 27)
26.1. При проектировании вновь создаваемых или модернизируемых ИС, имеющих доступ к информационно-телекоммуникационной сети "Интернет", должны выбираться маршрутизаторы <2>, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности).
(п. 26.1 введен Приказом ФСТЭК России от 28.05.2019 N 106)
--------------------------------
<2> Пункт 4 главы II Классификации средств программного, технического обеспечения, работ и услуг (приложение N 2 к Методическим указаниям по осуществлению учета информационных систем и компонентов информационно-телекоммуникационной инфраструктуры, утвержденным приказом Минкомсвязи России от 31 мая 2013 г. N 127).
(сноска введена Приказом ФСТЭК России от 28.05.2019 N 106)
27. В случае обработки в ИС информации, содержащей персональные данные, реализуемые в соответствии с пунктами 21 и 22 настоящих Требований меры защиты информации:
для ИС 1 класса защищенности обеспечивают 1, 2, 3 и 4 уровни защищенности персональных данных <1>;
--------------------------------
<1> Устанавливается в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119.
для ИС 2 класса защищенности обеспечивают 2, 3 и 4 уровни защищенности персональных данных <*>;
для ИС 3 класса защищенности обеспечивают 3 и 4 уровни защищенности персональных данных <*>;
абзац исключен. - Приказ ФСТЭК России от 15.02.2017 N 27.
28. При использовании в ИС новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры защиты информации, должны разрабатываться компенсирующие меры в соответствии с пунктом 23 настоящих Требований.
Приложение N 1
к Требованиям о защите информации,
не составляющей государственную тайну,
содержащейся в государственных
информационных системах
ОПРЕДЕЛЕНИЕ КЛАССА ЗАЩИЩЕННОСТИ ИНФОРМАЦИОННОЙ СИСТЕМЫ
Список изменяющих документов
(в ред. Приказа ФСТЭК России от 15.02.2017 N 27)
1. Класс защищенности информационной системы (первый класс (К1), второй класс (К2), третий класс (К3)) определяется в зависимости от уровня значимости информации (УЗ), обрабатываемой в этой информационной системе, и масштаба информационной системы (федеральный, региональный, объектовый).
(в ред. Приказа ФСТЭК России от 15.02.2017 N 27)
Класс защищенности (К) = [уровень значимости информации; масштаб системы].
2. Уровень значимости информации определяется степенью возможного ущерба для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации.
УЗ = [(конфиденциальность, степень ущерба) (целостность, степень ущерба) (доступность, степень ущерба)],