Пояснительная записка (1209492), страница 8

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 8)

Защиту обратной связи "система – субъект доступа" в процессе аутентификации обеспечивать исключением отображения для пользователя действительного значения аутентификационной информации и (или) количества вводимых пользователем символов аутентификационной информации. Вводимые символы пароля можно отображать условным знаком "*" или иными знаками.

1.6 Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей)

Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей), или процессов, запускаемых от имени этих пользователей, должна осуществляться в информационной системе однозначно (для ИС любого класса защищенности – аналогично).

К внешним пользователям относятся все пользователи информационной системы, не указанные в пункте 1.1 раздела 1 настоящих правил в качестве внутренних пользователей. Например, внешними пользователями являются граждане, которые на законных основаниях через сеть Интернет получают доступ к информационным ресурсам официального сайта ФНС России.

В информационной системе идентификация и аутентификация пользователей должна осуществляться однозначно для всех видов доступа (чтение, запись, выполнение и другие), кроме тех видов доступа, которые определяются как действия, разрешенные до идентификации и аутентификации в соответствии с требованиями, указанными в пункте 2.9 раздела 2 настоящих правил.

13.7 Исключение возможности отрицания пользователем факта получения информации от другого пользователя

Администратору безопасности необходимо обеспечивать в информационной системе исключение возможности отрицания пользователем факта получения информации от другого пользователя (для ИС 2 класса защищенности – аналогично, для ИС 3 и 4 класса защищенности – необязательно).

Для реализации данной меры должны осуществляться:

• определение объектов или типов информации, для которых требуется обеспечение неотказуемости получения, например, сообщения электронной почты (приказы, платежные документы, деловая почта);

• обеспечение целостности полученной информации в соответствии с пунктом 13.2 раздела 13 настоящих правил;

• регистрация событий, связанных с получением информации от другого пользователя в соответствии с пунктом 5.2 раздела 5 настоящих правил.

13.8 Защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения и иных данных, не подлежащих изменению в процессе обработки информации

Администратором безопасности в информационной системе должна обеспечиваться защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения, иных данных, не подлежащих изменению в процессе обработки информации (для ИС 2 класса защищенности – аналогично, для ИС 3 и 4 класса защищенности – необязательно). Такая защита обеспечивается принятием мер защиты информации, направленных на обеспечение их конфиденциальности и целостности (например, использование криптопровайдера КриптоПро, организационные меры).

Защита данных, не подлежащих изменению в процессе обработки информации, обеспечивается в отношении информации, хранящейся на дисковых накопителях и иных накопителях в информационной системе.

13.9 Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы

В информационной системе должно осуществляться разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечиваться защита периметров сегментов информационной системы (для ИС 2 класса защищенности – аналогично, для ИС 3 и 4 класса защищенности – необязательно).

Разбиение информационной системы на сегменты необходимо для построения многоуровневой системы защиты информации путем построения сегментов на различных физических доменах или средах. Принципы сегментирования информационной системы определяются оператором с учетом функциональных и технологических особенностей процесса обработки информации и анализа угроз безопасности информации и должны заключаться в снижении вероятности реализации угроз и (или) их локализации в рамках одного сегмента.

13.10 исключение доступа пользователя к информации, возникшей в результате действий предыдущего пользователя через реестры, оперативную память, внешние запоминающие устройства и иные общие для пользователей ресурсы информационной системы

Администратором безопасности должен быть исключен доступ пользователя к информации, возникшей в результате действий предыдущего пользователя через реестры, оперативную память, внешние запоминающие устройства, ресурсы файловой системы и иные общие для пользователей ресурсы информационной системы (для ИС 2, 3 и 4 класса защищенности – необязательно).

С помощью исключения доступа к информации через общие для пользователей ресурсы должен обеспечиваться запрет доступа текущему пользователю (учетной записи) или текущему процессу к системным ресурсам (реестрам, оперативной памяти, внешним запоминающим устройствам) при их повторном использовании, в которых хранится информация другого (предыдущего) пользователя.

13.11 Защита информационной системы от угроз безопасности информации, направленных на отказ в обслуживании этой информационной системы

Администратором безопасности в информационной системе должна обеспечиваться защита от угроз безопасности информации, направленных на отказ в обслуживании этой системы (для ИС 2 класса защищенности – аналогично, для ИС 3 и 4 класса защищенности – необязательно).

Для информационной системы должен быть определен перечень угроз (типов угроз) безопасности информации, направленных на отказ в обслуживании (типовая форма перечня приведена ниже).

Защита от угроз безопасности информации, направленных на отказ в обслуживании, осуществляется посредством реализации в информационной системе мер защиты информационной системы в соответствии с пунктом 13.12 раздела 13 настоящих правил и повышенными характеристиками производительности телекоммуникационного оборудования и каналов передачи совместно с резервированием информации и технических средств, программного обеспечения, каналов передачи информации в соответствии с пунктами 10.2, 10.4 и 10.5 раздела 10 настоящих правил. Необходимо определить перечень угроз (типов угроз) безопасности информации, направленных на отказ в обслуживании (типовая форма перечня приведена в таблице А.13.11.1).

Таблица А.13.11.1 – Перечень угроз безопасности информации

13.12 Защита периметра (физических и (или) логических границ) информационной системы при ее взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями

В информационной системе должна осуществляться защита периметра (физических и (или) логических границ) информационной системы при ее взаимодействии с иными информационными системами и информационно-телекоммуникационными сетями (для ИС 2 класса защищенности – аналогично, для ИС 3 и 4 класса защищенности – необязательно). Такая защита предусматривает выполнение следующих действий:

• контроль входящих в информационную систему и исходящих из информационной системы информационных потоков на физической и (или) логической границе информационной системы (сегментов информационной системы);

• обеспечение взаимодействия информационной системы и (или) ее сегментов с иными информационными системами и сетями только через сетевые интерфейсы, обеспечивающие контроль информационных потоков с использованием средств защиты информации (управляемые сетевые интерфейсы), установленных на физическом и (или) логическом периметре информационной системы или ее отдельных сегментов (маршрутизаторов, межсетевых экранов, коммутаторов, прокси-серверов, шлюзов безопасности, средств построения виртуальных частных сетей и иных средств защиты информации).

В информационной системе необходимо установить следующие правила по защите периметра (для ИС 2 класса защищенности – аналогично, для ИС 3 и 4 класса защищенности – необязательно):

• должна быть обеспечена возможность размещения публичных общедоступных ресурсов (в частности общедоступный веб-сервер), взаимодействующих с информационной системой через отдельные физические управляемые (контролируемые) сетевые интерфейсы;

• должно быть обеспечено предоставление доступа во внутренние сегменты информационной системы (демилитаризованную зону) из внешних информационных систем и сетей только через средства защиты периметра (за исключением внутренних сегментов, которые специально выделены для такого взаимодействия);

• оператор должен ограничить количество точек доступа в информационную систему из внешних информационных систем и сетей до минимально необходимого числа для решения постановленных задач, а также обеспечивающего постоянный и всесторонний контроль входящих и исходящих информационных потоков;

• быть исключен выход (вход) через управляемые (контролируемые) сетевые интерфейсы информационных потоков по умолчанию (реализация принципа "запрещено все, что не разрешено").

Администратор безопасности в информационной системе должен:

• обеспечить применение отдельного физического управляемого (контролируемый) сетевой интерфейс для каждого внешнего телекоммуникационного сервиса;

• установить правила управления информационными потоками для каждого физического управляемого (контролируемого) сетевого интерфейса;

• обеспечить защиту информации при ее передаче по каналам связи, имеющим выход за пределы контролируемой зоны (при необходимости), путем применения организационно-технических мер или криптографических методов в соответствии с законодательством РФ.

Помимо этого, в информационной системе должно обеспечиваться (для ИС 2, 3 и 4 класса защищенности – необязательно):

• обоснование и документирование всех исключений из правил управления информационными потоками, связанных с решением определенных задач в информационной системе, и определение продолжительности потребности таких исключений;

• удаление введенных исключений из правил управления информационными потоками после истечения установленного времени;

• запрет передачи информации за пределы периметра информационной системы при отказе (сбое) функционирования средств защиты периметра.

• исключение возможности информационного взаимодействия мобильных и иных технических средств (устройств) с внешними информационными системами и информационно-телекоммуникационными сетями в процессе их удаленного подключения к защищаемой информационной системе с использованием средств построения виртуальных частных сетей.

13.13 Прекращение сетевых соединений по их завершении или по истечении заданного оператором временного интервала неактивности сетевого соединения

В информационной системе должно осуществляться завершение сетевых соединений (например, открепление пары порт/адрес (TCP/IP)) по их завершении и (или) по истечении заданного временного интервала неактивности сетевого соединения более 15 минут (для ИС 2 класса защищенности – аналогично, для ИС 3 и 4 класса защищенности – необязательно).

Характеристики

Список файлов ВКР