Условное обозначение и номер меры | Содержание мер по обеспечению безопасности персональных данных | |
I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ) | ||
ИАФ.1 | Идентификация и аутентификация пользователей, являющихся работниками оператора | |
ИАФ.З | Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов | |
ИАФ.4 | Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации | |
ИАФ.5 | Защита обратной связи при вводе аутентификационной информации | |
ИАФ.6 | Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей) | |
II. Управление доступом субъектов доступа к объектам доступа (УПД) | ||
УПД.1 | Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей | |
УПД.2 | Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа | |
УПД.З | Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами | |
УПД.4 | Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы | |
УПД.5 | Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы | |
УПД.6 | Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе) | |
УПД.10 | Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу | |
УПД.11 | Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации | |
УПД.13 | Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети | |
УПД.14 | Регламентация и контроль использования в информационной системе технологий беспроводного доступа | |
УПД.15 | Регламентация и контроль использования в информационной системе мобильных технических средств | |
УПД.16 | Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы) | |
IV. Защита машинных носителей персональных данных (ЗНИ) | ||
ЗНИ.8 | Уничтожение (стирание) или обезличивание персональных данных на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания | |
V. Регистрация событий безопасности (РСБ) | ||
РСБ.1 | Определение событий безопасности, подлежащих регистрации, и сроков их хранения | |
РСБ.2 | Определение состава и содержания информации о событиях безопасности, подлежащих регистрации | |
РСБ.З | Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения | |
РСБ. 7 | Защита информации о событиях безопасности | |
VI. Антивирусная защита (АВЗ) | ||
АВ3.1 | Реализация антивирусной защиты | |
АВ3.2 | Обновление базы данных признаков вредоносных компьютерных программ (вирусов) | |
VIII. Контроль (анализ) защищенности персональных данных (АНЗ) | ||
АНЗ.1 | Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей | |
АНЗ.2 | Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации | |
АНЗ.3 | Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации | |
АНЗ.4 | Контроль состава технических средств, программного обеспечения и средств защиты информации | |
XI. Защита среды виртуализации (ЗСВ) | ||
ЗСВ.1 | Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации | |
ЗСВ.2 | Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин | |
ЗСВ.3 | Регистрация событий безопасности в виртуальной инфраструктуре | |
ЗСВ.9 | Реализация и управление антивирусной защитой в виртуальной инфраструктуре | |
ЗСВ.10 | Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки персональных данных отдельным пользователем и (или) группой пользователей | |
XII. Защита технических средств (ЗТС) | ||
ЗТС.3 | Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы, в помещения и сооружения, в которых они установлены | |
ЗТС.4 | Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр | |
XIII. Защита информационной системы, ее средств, систем связи и передачи данных (ЗИС) | ||
ЗИС.3 | Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи | |
ЗИС.20 | Защита беспроводных соединений, применяемых в информационной системе | |
XV. Управление конфигурацией информационной системы и системы защиты персональных данных (УКФ) | ||
УКФ.1 | Определение лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных | |
УКФ.2 | Управление изменениями конфигурации информационной системы и системы защиты персональных данных | |
УКФ.3 | Анализ потенциального воздействия планируемых изменений в конфигурации информационной системы и системы защиты персональных данных на обеспечение защиты персональных данных и согласование изменений в конфигурации информационной системы с должностным лицом (работником), ответственным за обеспечение безопасности персональных данных | |
УКФ.4 | Документирование информации (данных) об изменениях в конфигурации информационной системы и системы защиты персональных данных |