Энциклопедия информационной безопасности. По всем вопросам обращайтесь по адресу swan@wikisec.ru

УПД.13: различия между версиями

Материал из wikisec
Перейти к навигации Перейти к поиску
м (Замена текста — «Меры по обеспечению безопасности ПДн]» на «Меры защиты информации в государственных информационных системах]»)
 
Строка 2: Строка 2:
  
 
== Описание ==
 
== Описание ==
−
Оператором персональных данных должна обеспечиваться защита персональных данных при доступе пользователей (процессов запускаемых от имени пользователей) и (или) иных субъектов доступа к объектам доступа информационной системы персональных данных (ИСПДн) через информационно-телекоммуникационные сети, в том числе сети связи общего пользования, с использованием стационарных и (или) мобильных технических средств (защита удаленного доступа).
+
Оператором должна обеспечиваться защита информации при доступе пользователей (процессов запускаемых от имени пользователей) и (или) иных субъектов доступа к объектам доступа информационной системы через информационно-телекоммуникационные сети, в том числе сети связи общего пользования, с использованием стационарных и (или) мобильных технических средств (защита удаленного доступа).
−
Защита удаленного доступа должна обеспечиваться при всех видах доступа (беспроводной, проводной (коммутируемый), широкополосный и иные виды доступа) и включает:
 
−
*установление (в том числе документальное) видов доступа, разрешенных для удаленного доступа к объектам доступа ИСПДн;
 
−
*ограничение на использование удаленного доступа в соответствии с задачами (функциями) ИСПДн, для решения которых такой доступ необходим, и предоставление удаленного доступа для каждого разрешенного вида удаленного доступа в соответствии с [[УПД.2]];
 
−
*предоставление удаленного доступа только тем пользователям, которым он необходим для выполнения установленных должностных обязанностей (функций);
 
−
*мониторинг и контроль удаленного доступа на предмет выявления несанкционированного удаленного доступа к объектам доступа ИСПДн;
 
−
*контроль удаленного доступа пользователей (процессов запускаемых от имени пользователей) к объектам доступа ИСПДн до начала информационного взаимодействия с ИСПДн (передачи персональных данных).
 
−
Правила и процедуры применения удаленного доступа регламентируются в организационно-распорядительных документах оператора персональных данных по защите персональных данных.  
 
  
 +
Защита удаленного доступа должна обеспечиваться при всех видах доступа (беспроводной, проводной (коммутируемый), широкополосный и иные виды доступа) и включает:
 +
*установление (в том числе документальное) видов доступа, разрешенных для удаленного доступа к объектам доступа информационной системы;
 +
*ограничение на использование удаленного доступа в соответствии с задачами (функциями) информационной системы, для решения которых такой доступ необходим, и предоставление удаленного доступа для каждого разрешенного вида удаленного доступа в соответствии с [[УПД.2]];
 +
*предоставление удаленного доступа только тем пользователям, которым он необходим для выполнения установленных должностных обязанностей (функций);
 +
*мониторинг и контроль удаленного доступа на предмет выявления несанкционированного удаленного доступа к объектам доступа информационной системы;
 +
*контроль удаленного доступа пользователей (процессов запускаемых от имени пользователей) к объектам доступа информационной системы до начала информационного взаимодействия с информационной системой (передачи защищаемой информации).
 +
 +
Правила и процедуры применения удаленного доступа регламентируются в организационно-распорядительных документах оператора по защите информации.
 +
 
==Требования к усилению УПД.13: ==
 
==Требования к усилению УПД.13: ==
  
−
#в ИСПДн для мониторинга и контроля удаленного доступа должны применяться автоматизированные средства (дополнительные программные или программно-технические средства);  
+
#в информационной системе для мониторинга и контроля удаленного доступа должны применяться автоматизированные средства (дополнительные программные или программно-технические средства);
−
#в ИСПДн используется ограниченное (минимально необходимое) количество точек подключения к ИСПДн при организации удаленного доступа к объектам доступа ИСПДн;  
+
#в информационной системе используется ограниченное (минимально необходимое) количество точек подключения к информационной системе при организации удаленного доступа к объектам доступа информационной системы;
−
#в ИСПДн исключается удаленный доступ от имени привилегированных учетных записей (администраторов) для администрирования ИСПДн и ее системы защиты персональных данных;  
+
#в информационной системе исключается удаленный доступ от имени привилегированных учетных записей (администраторов) для администрирования информационной системы и ее системы защиты информации;
−
#в ИСПДн при удаленном доступе обеспечивается применение в соответствии с законодательством Российской Федерации криптографических методов защиты информации;  
+
#в информационной системе при удаленном доступе обеспечивается применение в соответствии с законодательством Российской Федерации криптографических методов защиты информации;
−
#в ИСПДн обеспечивается мониторинг и контроль удаленного доступа на предмет выявления установления несанкционированного соединения технических средств (устройств) с ИСПДн;  
+
#в информационной системе обеспечивается мониторинг и контроль удаленного доступа на предмет выявления установления несанкционированного соединения технических средств (устройств) с информационной системой;
−
#в ИСПДн должен обеспечиваться запрет удаленного доступа с использованием сетевых технологий и протоколов, определенных оператором по результатам анализа защищенности в соответствии с [[АНЗ.1]] как небезопасных.  
+
#в информационной системе должен обеспечиваться запрет удаленного доступа с использованием сетевых технологий и протоколов, определенных оператором по результатам анализа защищенности в соответствии с [[АНЗ.1]] как небезопасных.
 +
  
  
 
{| class="wikitable" style="text-align:center;"
 
{| class="wikitable" style="text-align:center;"
 
|- style="text-align:left;"
 
|- style="text-align:left;"
−
! rowspan="2" | Мера защиты персональных данных
+
! rowspan="2" | Мера защиты информации
−
! colspan="4" style="text-align:center;" | Уровень защищенности персональных данных
+
! colspan="4" style="text-align:center;" | Класс защищенности информационной системы
 
|-
 
|-
 
| 4
 
| 4
Строка 39: Строка 42:
 
| style="text-align:left;" | Усиление УПД.13
 
| style="text-align:left;" | Усиление УПД.13
 
|  
 
|  
−
| 2,3
+
| 2, 3
−
| 2,3,5
+
| 2, 3, 5
−
| 1,2,3,5
+
| 1, 2, 3, 5
 
|}
 
|}
 
[[Категория: Меры защиты информации в государственных информационных системах]]
 
[[Категория: Меры защиты информации в государственных информационных системах]]

Текущая версия на 15:06, 8 октября 2021

УПД.13 - Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети

Описание

Оператором должна обеспечиваться защита информации при доступе пользователей (процессов запускаемых от имени пользователей) и (или) иных субъектов доступа к объектам доступа информационной системы через информационно-телекоммуникационные сети, в том числе сети связи общего пользования, с использованием стационарных и (или) мобильных технических средств (защита удаленного доступа).

Защита удаленного доступа должна обеспечиваться при всех видах доступа (беспроводной, проводной (коммутируемый), широкополосный и иные виды доступа) и включает:

  • установление (в том числе документальное) видов доступа, разрешенных для удаленного доступа к объектам доступа информационной системы;
  • ограничение на использование удаленного доступа в соответствии с задачами (функциями) информационной системы, для решения которых такой доступ необходим, и предоставление удаленного доступа для каждого разрешенного вида удаленного доступа в соответствии с УПД.2;
  • предоставление удаленного доступа только тем пользователям, которым он необходим для выполнения установленных должностных обязанностей (функций);
  • мониторинг и контроль удаленного доступа на предмет выявления несанкционированного удаленного доступа к объектам доступа информационной системы;
  • контроль удаленного доступа пользователей (процессов запускаемых от имени пользователей) к объектам доступа информационной системы до начала информационного взаимодействия с информационной системой (передачи защищаемой информации).

Правила и процедуры применения удаленного доступа регламентируются в организационно-распорядительных документах оператора по защите информации.

Требования к усилению УПД.13:

  1. в информационной системе для мониторинга и контроля удаленного доступа должны применяться автоматизированные средства (дополнительные программные или программно-технические средства);
  2. в информационной системе используется ограниченное (минимально необходимое) количество точек подключения к информационной системе при организации удаленного доступа к объектам доступа информационной системы;
  3. в информационной системе исключается удаленный доступ от имени привилегированных учетных записей (администраторов) для администрирования информационной системы и ее системы защиты информации;
  4. в информационной системе при удаленном доступе обеспечивается применение в соответствии с законодательством Российской Федерации криптографических методов защиты информации;
  5. в информационной системе обеспечивается мониторинг и контроль удаленного доступа на предмет выявления установления несанкционированного соединения технических средств (устройств) с информационной системой;
  6. в информационной системе должен обеспечиваться запрет удаленного доступа с использованием сетевых технологий и протоколов, определенных оператором по результатам анализа защищенности в соответствии с АНЗ.1 как небезопасных.


Мера защиты информации Класс защищенности информационной системы
4 3 2 1
УПД.13 + + + +
Усиление УПД.13 2, 3 2, 3, 5 1, 2, 3, 5
Источник — https://wikisec.ru/index.php?title=УПД.13&oldid=17185