КОНТРОЛЬ ПРАВИЛ ГЕНЕРАЦИИ И СМЕНЫ ПАРОЛЕЙ ПОЛЬЗОВАТЕЛЕЙ, ЗАВЕДЕНИЯ И УДАЛЕНИЯ УЧЕТНЫХ ЗАПИСЕЙ ПОЛЬЗОВАТЕЛЕЙ, РЕАЛИЗАЦИИ ПРАВИЛ РАЗГРАНИЧЕНИЯ ДОСТУПОМ, ПОЛНОМОЧИЙ ПОЛЬЗОВАТЕЛЕЙ В ИНФОРМАЦИОННОЙ СИСТЕМЕ НЗ.5

Требования к реализации АНЗ.5

Оператором должен проводиться контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей в информационной системе.

При этом осуществляется контроль:

•правил генерации и смены паролей пользователей в соответствии с ИАФ.1 и ИАФ.4;

•заведения и удаления учетных записей пользователей в соответствии с УПД.1;

•реализации правил разграничения доступом в соответствии с УПД.2;

•реализации полномочий пользователей в соответствии с УПД.4 и УПД.5;

•наличия документов, подтверждающих соответствующ разрешения, предусмотренных организационно-распорядительными документами по защите информации оператора;

•устранение связанных нарушений.

Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступом, полномочий пользователей в информационной системе проводится с периодичностью, установленной оператором в организационно- распорядительных документах по защите информации.

Требования к усилению АНЗ.5

•в информационной системе должна обеспечиваться регистрация событий, связанных со сменой паролей пользователей, заведением и удалением учетных записей пользователей, изменением правил разграничения доступом и полномочий пользователей;

•оператором должны использоваться автоматизированные средства, обеспечивающие контроль правил генерации и смены паролей пользователей;

•учетных записей пользователей, правил разграничения доступом и полномочий пользователей.

Содержание базовой меры АНЗ.5

ОБЕСПЕЧЕНИЕ ЦЕЛОСТНОСТИ ИНФОРМАЦИОННОЙ СИСТЕМЫ И ИНФОРМАЦИИ (ОЦЛ) КОНТРОЛЬ ЦЕЛОСТНОСТИ ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ, ВКЛЮЧАЯ ПРОГРАММНОЕ

ОБЕСПЕЧЕНИЕ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ ОЦЛ.1

Требования к реализации ОЦЛ.1

В информационной системе должен осуществляться контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации.

Контроль должен предусматривать контроль:

•целостности программного обеспечения средств защиты информации, включая их обновления, по наличию имен и по контрольным суммам компонентов средств защиты информации в процессе загрузки и динамически в процессе работы информационной системы; целостности компонентов программного обеспечения (за исключением средств защиты информации;

•контроль применения средств разработки и отладки программ в составе программного обеспечения информационной системы;

•тестирование с периодичностью установленной оператором в соответствии с АНЗ.1 и АНЗ.2;

•обеспечение физической защиты технических средств информационной системы в соответствии с ЗТС.2 и ЗТС.3.

В случае если функциональные возможности информационной системы должны предусматривать применение в составе ее программного обеспечения средств разработки и отладки программ, оператором обеспечивается выполнение процедур контроля целостности программного обеспечения после завершения каждого процесса функционирования средств разработки и отладки программ.

Правила и процедуры контроля целостности программного обеспечения регламентируются в организационно-распорядительных документах оператора по защите информации.

Требования к усилению ОЦЛ.1

•в информационной системе контроль целостности средств защиты информации должен осуществляться по контрольным суммам всех компонентов, как в процессе загрузки, так и в процессе работы;

•оператором обеспечивается выделение рабочих мест с установленными средствами разработки и отладки программ в отдельный сегмент;

•должна обеспечиваться блокировка запуска программного обеспечения/ сегмента информационной системы в случае обнаружения фактов нарушения целостности.

Требования к усилению ОЦЛ.1

•в информационной системе контроль целостности средств защиты информации должен осуществляться по контрольным суммам всех компонентов, как в процессе загрузки, так и в процессе работы;

•должен обеспечиваться контроль целостности средств защиты информации с использованием криптографических методов в соответствии с законодательством Р Ф, всех компонентов средств защиты информации, как в процессе загрузки, так и динамически в процессе работы системы;

•оператором исключается возможность использования средств разработки и отладки программ во время обработки и (или) хранения информации в целях обеспечения целостности программной среды;

•оператором обеспечивается выделение рабочих мест с установленными средствами разработки и отладки программ в отдельный сегмент (тестовую среду);

•должна обеспечиваться блокировка запуска программного обеспечения и (или) блокировка сегмента (компонента) информационной системы (автоматизированного рабочего места, сервера) в случае обнаружения фактов нарушения целостности.

Содержание базовой меры ОЦЛ.1

КОНТРОЛЬЦЕЛОСТНОСТИ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В БАЗАХ ДАННЫХ ИНФОРМАЦИОННОЙ СИСТЕМЫ

ОЦЛ.2

Требования к усилению ОЦЛ.2

•в информационной системе должны выполняться процедуры контроля целостности информации, содержащейся в базе данных, перед каждым запуском программного обеспечения доступа к базе данных;

•в информационной системе должен обеспечиваться контроль целостности исполняемых модулей, хранящихся в базах данных (например, хранимые процедуры, триггеры);

•в информационной системе должна обеспечиваться блокировка запуска системы управления базы данных и (или) блокировка сегмента (компонента) информационной системы (автоматизированного рабочего места, сервера) в случае обнаружения фактов нарушения целостности;

•контроль целостности структуры базы данных и контроль целостности информации, хранящейся в базе данных, с применением специальных программных автоматизированных средств контроля целостности.