Базовый состав мер по реализации процесса системы защиты информации
РЗИ.1 (О-О-Т)
Реализация учета объектов и ресурсов доступа, входящих в область применения процесса системы защиты информации, для уровней информационной инфраструктуры, определенных в п. 6.2 ГОСТ Р 57570.1, в том числе объектов доступа, расположенных в публичных (общедоступных) местах (в том числе банкоматах, платежных терминалах).
Уровень защиты информации 3-О, 2-О, 1-Т.
Пояснение
Направление РЗИ устанавливает требования ко всем процессам ГОСТ Р 57580. РЗИ.1 направлена на учет всех объектов и ресурсов доступа рассматриваемых в области процесса защиты информации в организациях, для всех уровнях инфраструктуры указанных в п. 6.2 ГОСТ Р 57580 включая общедоступные (банкоматы, платежные терминалы). В данной мере необходимо описать как реализуется система учета всех систем защиты информации из направления планирования.
Реализация - О
Может реализовываться IT-отделом, при плановом учете объектов и ресурсов доступа, таких как сервера виртуальных машин, самих виртуальных машин и так далее.
Процесс 1 "Обеспечение защиты информации при управлении доступом".
уровень аппаратного обеспечения - HSM (!ch разобраться чем можно их учитывать) (ведение журнала Администраторами или назначенными ответственными IT/ИБ)
уровень сетевого оборудования - Маршрутизаторы, коммутаторы, CheckPoint, Межсетевые экраны (!ch разобраться чем можно их учитывать) (!ch Zabbix почитать, консоль управления)
уровень сетевых приложений и сервисов - Checkpoint VPN, DNS сервера, Key Cloak (!ch почитать про Key Clock, и как учитывать)
уровень серверных компонентов виртуализации, программных инфраструктурных сервисов - Гипервизор, AD, Технические средства и ПО взаимодействия с Гипервизором, Cubernetis (!ch почитать про все это, изучить чем можно учитывать)
уровень операционных систем, систем управления базами данных, серверов приложений -
уровень АС и приложений, эксплуатируемых для оказания финансовых услуг в рамках бизнес-процессов или технологических процессов финансовой организации.
Реализация - Т
Для технической реализации могут использоваться установленные средства управления доступом такие как AD для учета АС, серверов, АРМ и так далее. Или же средствами инвентаризации (например, Total Inventory и другими системами инвентаризации) систем защиты информации.
Проверочные процедуры (свидетельства)
Свидетельством выполнение меры являются списки учета объектов и ресурсов доступа.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
РЗИ.2 (О-О-Т)
Размещение и настройка (конфигурирование) технических мер защиты информации в информационной инфраструктуре финансовой организации.
Уровень защиты информации 3-О, 2-О, 1-Т.
Пояснение
Данная мера требует, чтобы выбранные в направление планирование средства защиты информации были установлены и настроены на всех учтенных объектах и ресурсах доступа в рассматриваемой области. Все настройки должны быть выполнены согласно запланированным в ПЗИ.5.
Реализация - О
Размещение технических мер должно реализовываться согласно запланированным политикам и с заранее определенными настройками для каждой меры защиты информации.
Реализация - Т
Реализуется с помощью размещения заготовленных образов и заготовленных конфигураций через системы по типу NtLite, RedCheck и других, когда заранее настроенный и заготовленный образ устанавливается на все АРМ пользователей, администраторов, серверов и так далее.
Проверочные процедуры (свидетельства)
Подтверждение фактов соответствия запланированных и прописанных настроек с фактическими для каждого процесса.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
РЗИ.3 (О-О-О)
Контроль (тестирование) полноты реализации технических мер защиты информации.
Уровень защиты информации 3-О, 2-О, 1-О.
Пояснение
Реализация - О
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
РЗИ.4 (О-О-О)
Назначение работникам финансовой организации ролей, связанных с применением мер защиты информации, и установление обязанности и ответственности за их выполнение.
