description: Базовый состав мер по реализации процесса системы защиты информации
РЗИ 11-16
РЗИ.11 (Н-Н-Т)
Применение сертифицированных по требованиям безопасности информации средств защиты информации не ниже 4 класса*.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
\*В случаях, когда применение таких средств необходимо для нейтрализации угроз безопасности, определенных в модели угроз и нарушителей безопасности информации финансовой организации.Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
РЗИ.12(Н-Т-Н)
Применение сертифицированных по требованиям безопасности информации средств защиты информации не ниже 5 класса*.
Уровень защиты информации 3-Н, 2-Т, 1-Н.
Пояснение
\*В случаях, когда применение таких средств необходимо для нейтрализации угроз безопасности, определенных в модели угроз и нарушителей безопасности информации финансовой организации.Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
РЗИ.13 (Т-Н-Н)
Применение сертифицированных по требованиям безопасности информации средств защиты информации не ниже 6 класса*.
Уровень защиты информации 3-Т, 2-Н, 1-Н.
Пояснение
\*В случаях, когда применение таких средств необходимо для нейтрализации угроз безопасности, определенных в модели угроз и нарушителей безопасности информации финансовой организации.Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
РЗИ.14 (Н-Н-Т)
Применение СКЗИ, имеющих класс не ниже КС2*.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
\*В случаях, когда применение таких средств необходимо для нейтрализации угроз безопасности, определенных в модели угроз и нарушителей безопасности информации финансовой организации.Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
РЗИ.15 (О-О-О)
Обучение, практическая подготовка (переподготовка) работников финансовой организации, ответственных за применение мер защиты информации в рамках процесса защиты информации.
Уровень защиты информации 3-О, 2-О, 1-О.
Пояснение
Мера защиты информации направлена на необходимость повышения квалификации и переподготовки работников, участвующих в реализации процессов защиты информации.Реализация - О
Проводить повышения квалификации и переподготовки работников, участвующих в реализации процессов защиты информации.
При этом, рекомендуется, проводить такую переподготовку как минимум раз в 5 лет.
Проверочные процедуры (свидетельства)
- Сертификаты работников, ответственных как за инфраструктурную поддержку контура безопасности (например, повышение классификации в части администрирования AD), так и за конкретные СЗИ (например, повышение квалификации в области администрирования САЗ);
- Договоры и иные свидетельства проведения переобучения работников организации самим вендором используемых АС, СЗИ или инфраструктурных сервисов.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
РЗИ.16(О-О-О)
Повышение осведомленности (инструктаж) работников финансовой организации в области реализации процесса защиты информации, применения организационных мер защиты информации, использования по назначению технических мер защиты информации.
Уровень защиты информации 3-О, 2-О, 1-О.
Пояснение
* Первое, что стоит отметить для данного требование — это то, что оно распространяется на всех работников Организации, входящих в контур безопасности. Т.е. на пользователей, администраторов ИБ и ИТ, разработчиков, сетевых инженеров и т.д. * Второе - данное требование находится в направлении «Реализация», которое идет после направления «Планирование». В рамках направления «Планирование», для выполнения требований ПЗИ.3 и ПЗИ.5 Организацией во ВНД должны быть создан и определен порядок применения организационных и технических мер защиты информации, т.е. должны быть разработаны документы, которые отражают применение/выполнение выбранных мер защиты в соответствии с ПЗИ.2 и ПЗИ.4.Реализация - О
Проведение мероприятий по ознакомлению с мерами защиты информации и их применением, фиксация их в ВНД Организации (Политика защиты от вредоносного кода, Политика управления логическим доступом и т.д.). \ Также, стоит отметить, что для определенных сотрудников рекомендуется проводить ознакомление только с той документацией, которая для них будет актуальна, например, для пользователей АС, которые осуществляют реализацию бизнес-процессов - парольная политика, политика физического доступа, инструкция по осуществлению удаленного доступа, политика информационной безопасности и т.д. \ Для администраторов ИТ-инфраструктуры и сотрудников отдела ИБ (в зависимости от специфики деятельности работника) - политика защиты среды виртуализации, политика защиты удаленного доступа, политика реагирования на инциденты ЗИ, стандарты конфигурации на СЗИ и/или АС и т.д.\ Проведение регулярных анализов актуальных угроз и введение новых мер защиты в действие с занесением их в ВНД. \ Напоминание о необходимости выполнения существующий требований и лучших практик: - Для пользователей - периодические рассылки по ИБ при помощи электронной почты или иными способом, тестирование на знание основ ИБ и требований, зафиксированных в ВНД Организации\ - Для администраторов - лучшие практики в рамках их специфики деятельности или технические/организационные требования, зафиксированные в ВНД Организации.
Проверочные процедуры (свидетельства)
- Документы, подтверждающие проведения мероприятий по ознакомлению с мерами защиты информации и их применением, зафиксированных в ВНД Организации (например, роспись в самом документе или в рамках используемых внутренних вики-систем типа Confluence);
- Периодические оповещения от работников отдела ИБ об изменении ВНД и введении новых мер защиты информации в действие (как для пользователей, так и для администраторов ИТ-инфраструктуры, например, при помощи рассылки по электронной почте или иным способом);
- Свидетельства, подтверждающие периодические напоминания о необходимости выполнения существующих требований и лучших практик.\
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.