Требования к усилению СОВ.2

Винформационной системе должна обеспечиваться:

•централизованное управление обновлением;

•возможность редактирования со стороны уполномоченных должностных лиц для предотвращения определенных оператором компьютерных атак и/ или сокращения нагрузки на информационную систему, а также минимизации ложных срабатываний системы обнаружения вторжений;

•оператором информационной системы устанавливается порядок редактирования базы решающих правил.

Содержание базовой меры СОВ.2

КОНТРОЛЬ (АНАЛИЗ) ЗАЩИЩЕННОСТИ ИНФОРМАЦИИ (АНЗ) ВЫЯВЛЕНИЕ, АНАЛИЗ И

УСТРАНЕНИЕ УЯЗВИМОСТЕЙ ИНФОРМАЦИОННОЙ СИСТЕМЫ АНЗ.1

Требования к реализации АНЗ.1

Оператором должны осуществляться выявление, анализ и устранение уязвимостей в информационной системе.

При этом в информационной системе должны проводиться:

•выявление уязвимостей, связанных с ошибками кода в программном обеспечении, правильностью установки и настройки технических средств и программного обеспечения и корректностью их работы;

•разработка по результатам отчетов с описанием выявленных уязвимостей и планом мероприятий по их устранению;

•анализ отчетов с результатами поиска уязвимостей и оценки достаточности реализованных мер защиты информации;

•устранение выявленных уязвимостей;

•информирование должностных лиц оператора о результатах.

В качестве источников информации об уязвимостях используются опубликованные данные разработчиков, а также другие базы данных уязвимостей.

Выявление, анализ и устранение уязвимостей должны проводиться на этапах создания и эксплуатации информационной системы. На этапе эксплуатации поиск и анализ уязвимостей проводится с периодичностью, установленной оператором.

Оператором должны осуществляться получение из доверенных источников и установка обновлений базы признаков уязвимостей. Правила и процедуры выявления, анализа и устранения уязвимостей регламентируются в организационно-распорядительных документах оператора по защите информации.

Требования к усилению АНЗ.1

•обеспечивается использование для выявления уязвимостей и оценки их последствий;

•оператор должен уточнять перечень сканируемых в информационной системе уязвимостей с установленной им периодичностью, а также после появления информации о новых уязвимостях;

•определяется информация об информационной системе, которая может стать известной нарушителям и использована ими для эксплуатации уязвимостей, и принимаются меры по снижению последствий от эксплуатации нарушителями неустранимых уязвимостей;

•предоставляется доступ только администраторам к функциям выявления уязвимостей;

•применяются автоматизированные средства для сравнения результатов сканирования уязвимостей в разные периоды времени для анализа изменения количества и классов уязвимостей; для обнаружения неразрешенного программного обеспечения и уведомления об этом уполномоченных должностных лиц;

•проводится анализ журналов регистрации событий безопасности в целях определения, были ли выявленные уязвимости ранее использованы для нарушения безопасности информации;

•обеспечивается проведение выявления уязвимостей «нулевого дня»;

•должно осуществляться выявление уязвимостей с использованием учетных записей на сканируемых ресурсах;

•оператором должно использоваться тестирование информационной системы на проникновение.

Содержание базовой меры АНЗ.1

КОНТРОЛЬ УСТАНОВКИ ОБНОВЛЕНИЙ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ, ВКЛЮЧАЯ

ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ АНЗ.2

Требования к реализации АНЗ.2

Оператором должен осуществляться получение из доверенных источников установка и контроль установки обновлений, включая программное обеспечение средств защиты информации и базовой системы ввода-вывода, а также осуществляться получение из доверенных источников и установка обновлений.

Контроль установки обновлений проводится с периодичностью, установленной оператором в организационно-распорядительных документах по защите информации и фиксируется в соответствующих журналах.

Требования к усилению АНЗ.2

•оператором должна осуществляться проверка корректности функционирования обновлений в тестовой среде с обязательным оформлением результатов проверки в соответствующем журнале; им же обеспечивается регламентация и контроль обновлений.

Содержание базовой меры АНЗ.2

КОНТРОЛЬ РАБОТОСПОСОБНОСТИ, ПАРАМЕТРОВ НАСТРОЙКИ И ПРАВИЛЬНОСТИ ФУНКЦИОНИРОВАНИЯ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ И СРЕДСТВ ЗАЩИТЫ

ИНФОРМАЦИИ АНЗ.3

Требования к реализации АНЗ.3

Оператором должен проводиться контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации.

При контроле осуществляется:

•контроль работоспособности;

•проверка правильности функционирования;

•контроль соответствия настроек параметра, приведенным в эксплуатационной документации на систему защиты информации и средства защиты информации; восстановление работоспособности и параметров настройки, в том числе с использованием резервных копий и/ или дистрибутивов.

Требования к усилению АНЗ.3

•в информационной системе должны обеспечиваться регистрация событий и оповещение администратора безопасности о событиях, связанных с нарушением работоспособности и параметров настройки программного обеспечения и средств защиты информации; использоваться программное обеспечение, прошедшее контроль отсутствия недекларированных возможностей и отсутствия влияния на корректность работы средств защиты информации.

•оператором в случае обнаружения нарушений работоспособности и параметров настройки должен обеспечиваться перевод информационной системы в режим ограничения обработки информации до устранения нарушений; использоваться автоматизированные средства, обеспечивающие инвентаризацию параметров настройки и их восстановление;

Содержание базовой меры АНЗ.3

Требования к усилению АНЗ.4

•в информационной системе должна обеспечиваться регистрация событий безопасности, связанных с изменением состава технических средств, программного обеспечения и средств защиты информации;

•оператором должны использоваться автоматизированные средства, обеспечивающие инвентаризацию технических средств, программного обеспечения и средств защиты информации.

Содержание базовой меры АНЗ.4