С наступающим Новым годом, дорогие читатели! Предлагаю Вашем вниманию таблицу-шпаргалку, в которой собраны требования 17 и 21 Приказа ФСТЭК, Верхняя подстрока в каждой строке - требования 17 Приказа ФСТЭК (Класс защищенности), нижняя подстрока (красные крестики) - требования 21 Приказа. Пустые клетки означают, что требований нет. Для чего может пригодиться эта таблица? Она будет полезна, если Вы решите построить ИСПДн по требованиям двух документов одновременно, что актуально для государственных организаций в первую очередь (и для остальных - по желанию).
О том как соотносятся 17 и 21 Приказы можно почитать пояснение ФСТЭК здесь .
Таблица ниже. Единственное примечание - в 8 пункте ЗНИ.8 для ПДн указано не только уничтожение, но и обезличивание.
|
Условное обозначение и номер меры
|
Меры защиты информации в информационных системах
|
Классы защищенности информационной системы/Уровень защищенности ПДн
| |||||||||
|
4
|
3
|
2
|
1
| ||||||||
|
I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ)
| |||||||||||
|
ИАФ.1
|
Идентификация и аутентификация пользователей, являющихся работниками оператора
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
ИАФ.2
|
Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных
|
+
|
+
| ||||||||
|
+
|
+
| ||||||||||
|
ИАФ.3
|
Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
ИАФ.4
|
Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
ИАФ.5
|
Защита обратной связи при вводе аутентификационной информации
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
ИАФ.6
|
Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
ИАФ.7
|
Идентификация и аутентификация объектов файловой системы, запускаемых и исполняемых модулей, объектов систем управления базами данных, объектов, создаваемых прикладным и специальным программным обеспечением, иных объектов доступа
| ||||||||||
|
Нет требования
| |||||||||||
|
II. Управление доступом субъектов доступа к объектам доступа (УПД)
| |||||||||||
|
УПД.1
|
Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.2
|
Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.3
|
Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами
|
+
|
+
| ||||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.4
|
Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы
|
+
|
+
|
+
| |||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.5
|
Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы
|
+
|
+
|
+
| |||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.6
|
Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.7
|
Предупреждение пользователя при его входе в информационную систему о том, что в информационной системе реализованы меры защиты информации, и о необходимости соблюдения им установленных оператором правил обработки информации
| ||||||||||
|
УПД.8
|
Оповещение пользователя после успешного входа в информационную систему о его предыдущем входе в информационную систему
| ||||||||||
|
УПД.9
|
Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы
|
+
| |||||||||
|
УПД.10
|
Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу
|
+
|
+
|
+
| |||||||
|
+
|
+
|
+
| |||||||||
|
УПД.11
|
Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
| |||||||||
|
УПД.12
|
Поддержка и сохранение атрибутов безопасности (меток безопасности), связанных с информацией в процессе ее хранения и обработки
| ||||||||||
|
УПД.13
|
Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.14
|
Регламентация и контроль использования в информационной системе технологий беспроводного доступа
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.15
|
Регламентация и контроль использования в информационной системе мобильных технических средств
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.16
|
Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы)
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
УПД.17
|
Обеспечение доверенной загрузки средств вычислительной техники
|
+
|
+
| ||||||||
|
+
|
+
| ||||||||||
|
III. Ограничение программной среды (ОПС)
| |||||||||||
|
ОПС.1
|
Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения
|
+
| |||||||||
|
ОПС.2
|
Управление установкой (инсталляцией) компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения
|
+
|
+
| ||||||||
|
+
|
+
| ||||||||||
|
ОПС.3
|
Установка (инсталляция) только разрешенного к использованию программного обеспечения и (или) его компонентов
|
+
|
+
|
+
|
+
| ||||||
|
+
| |||||||||||
|
ОПС.4
|
Управление временными файлами, в том числе запрет, разрешение, перенаправление записи, удаление временных файлов
| ||||||||||
|
IV. Защита машинных носителей информации (ЗНИ)
| |||||||||||
|
ЗНИ.1
|
Учет машинных носителей информации
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
| ||||||||||
|
ЗНИ.2
|
Управление доступом к машинным носителям информации
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
| ||||||||||
|
ЗНИ.3
|
Контроль перемещения машинных носителей информации за пределы контролируемой зоны
| ||||||||||
|
ЗНИ.4
|
Исключение возможности несанкционированного ознакомления с содержанием информации, хранящейся на машинных носителях, и (или) использования носителей информации в иных информационных системах
| ||||||||||
|
ЗНИ.5
|
Контроль использования интерфейсов ввода (вывода) информации на машинные носители информации
|
+
|
+
| ||||||||
|
ЗНИ.6
|
Контроль ввода (вывода) информации на машинные носители информации
| ||||||||||
|
ЗНИ.7
|
Контроль подключения машинных носителей информации
| ||||||||||
|
ЗНИ.8
|
Уничтожение (стирание) информации на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания)
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
| |||||||||
|
V. Регистрация событий безопасности (РСБ)
| |||||||||||
|
РСБ.1
|
Определение событий безопасности, подлежащих регистрации, и сроков их хранения
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
РСБ.2
|
Определение состава и содержания информации о событиях безопасности, подлежащих регистрации
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
РСБ.3
|
Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
РСБ.4
|
Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти
|
+
|
+
|
+
|
+
| ||||||
|
РСБ.5
|
Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
| ||||||||||
|
РСБ.6
|
Генерирование временных меток и (или) синхронизация системного времени в информационной системе
|
+
|
+
|
+
|
+
| ||||||
|
РСБ.7
|
Защита информации о событиях безопасности
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
РСБ.8
|
Обеспечение возможности просмотра и анализа информации о действиях отдельных пользователей в информационной системе
| ||||||||||
|
Нет требования
| |||||||||||
|
VI. Антивирусная защита (АВЗ)
| |||||||||||
|
АВЗ.1
|
Реализация антивирусной защиты
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
АВЗ.2
|
Обновление базы данных признаков вредоносных компьютерных программ (вирусов)
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
VII. Обнаружение вторжений (СОВ)
| |||||||||||
|
СОВ.1
|
Обнаружение вторжений
|
+
|
+
| ||||||||
|
+
|
+
| ||||||||||
|
СОВ.2
|
Обновление базы решающих правил
|
+
|
+
| ||||||||
|
+
|
+
| ||||||||||
|
VIII. Контроль (анализ) защищенности информации (АНЗ)
| |||||||||||
|
АНЗ.1
|
Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей
|
+
|
+
|
+
| |||||||
|
+
|
+
|
+
| |||||||||
|
АНЗ.2
|
Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации
|
+
|
+
|
+
|
+
| ||||||
|
+
|
+
|
+
|
+
| ||||||||
|
АНЗ.3
|
Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации
|
+
|
+
|
+
| |||||||
|
+
|
+
|
+
| |||||||||
|
АНЗ.4
|
Контроль состава технических средств, программного обеспечения и средств защиты информации
|
+
|
+
|
+
| |||||||
|
+
|
+
|
+
| |||||||||
|
АНЗ.5
|
Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей в информационной системе
|
+
|
+
|
+
| |||||||
|
+
|
+
| ||||||||||
|
IX. Обеспечение целостности информационной системы и информации (ОЦЛ)
| |||||||||||
|
ОЦЛ.1
|
Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации
|
+
|
+
| ||||||||
|
+
|
+
| ||||||||||
|
ОЦЛ.2
|
Контроль целостности информации, содержащейся в базах данных информационной системы
| ||||||||||
|
ОЦЛ.3
|
Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций
|
+
|
+
|
+
|
+
| ||||||
|
ОЦЛ.4
|
Обнаружение и реагирование на поступление в информационную систему незапрашиваемых электронных сообщений (писем, документов) и иной информации, не относящихся к функционированию информационной системы (защита от спама)
|
+
|
+
| ||||||||
| | |||||||||||
