ИУ 1-6
Базовый состав мер по организации учета и контроля состава ресурсов и объектов доступа
Last updated
Базовый состав мер по организации учета и контроля состава ресурсов и объектов доступа
Last updated
Учет созданных, используемых и (или) эксплуатируемых .
Уровень защиты информации 3-О, 2-Т, 1-Т.
Требование организационного уровня может быть реализовано финансовой организацией через составление инвентарных описей используемых .
В состав таких описей как минимум стоит включать информацию, необходимую для функционирования рассматриваемых :
тип обеъекта доступа;
формат ресурса доступа;
размещение ;
информация о резервировании
информация о значимости (ценности) для бизнеса финансовой организации.
Вести инвентарную опись можно и в формате Excel-таблицы, которая будет включать в себя вышеописанную информацию.
При стремительно меняющейся ИТ-инфраструктуре организации основным недостатком в реализации требования является актуальность поддерживаемого перечня ресурсов доступа и информации, описывающей каждый из ресурсов доступа финансовой организации.
Не выявлены.
Не выявлены.
Требование говорит о необходимости централизованной инвентаризации всех ресурсов доступа одной системой учета.
2. Базы данных - перечень баз данных, может быть зафиксирован при помощи систем управления базами данных финансовой организации. При выборе определенной СУБД стоит опираться на особенности их функционирования.
3. Сетевые файловые ресурсы - перечень сетевых файловых ресурсов можно фиксировать при помощи специализированного ПО, обеспечивающего учет и аудит событий таких ресурсов.
4. Виртуальные машины - перечень виртуальных машин может быть зафиксирован при помощи централизованной системы управления виртуальными машинами.
Для процедур.
При стремительно меняющейся ИТ-инфраструктуре организации основным недостатком в реализации требования является актуальность поддерживаемого перечня ресурсов доступа и информации, описывающей каждый из ресурсов доступа финансовой организации.
Не выявлены.
Не выявлены.
Учет созданных, используемых и (или) эксплуатируемых объектов доступа.
Уровень защиты информации 3-О, 2-О, 1-Т.
Мера определяет требования к учету созданных, используемых и эксплуатируемых объектов доступа финансовой организации.
Требование организационного уровня может быть реализовано финансовой организацией через составление инвентарных описей используемых объектов доступа, к которым относятся экземпляры физического оборудования.
В состав таких описей как минимум стоит включать информацию, необходимую для функционирования рассматриваемых объектов доступа:
тип объекта доступа (сервер, рабочая станция, банкомат, платежный терминал);
формат объектов доступа;
место размещения объекта доступа;
информация о наличии резерва у объекта доступа;
информация о значимости (ценности) для бизнеса финансовой организации.
Данную меру можно реализовать с использованием: 1. Ведение учета материальных ценностей в специализированных системах;
2. CRM-системы с возможностью составления заявок на доступ к объектам, учета жизненного цикла объекта, формирования перечня субъектов доступа;
1. CMDB, SCCM – систем
2. СЗИ (например, Kaspersky Security Center) - контроль объектов доступа (диски, устройства, файлы, каталоги), приложений, устройств, печати.
3. Системы для мониторинга оборудования (например, Zabbix)
4. Инвентаризации объектов доступа средствами Microsoft Excel.
Свидетельствами реализации требования могут быть как сами инвентарные описи используемых в финансовой организации объектов доступа, так и их совокупность, зафиксированная в электронном формате (например, в виде Excel-таблицы).
1. Выгрузка таблиц или реестров инвентаризации с зафиксированными инвентарными номера для всех используемых и эксплуатируемых объектов доступа;
Скриншоты из ПО, реализующим инвентаризацию объектов доступа.
При стремительно меняющейся ИТ-инфраструктуре организации основным недостатком в реализации требования является актуальность поддерживаемого перечня объектов доступа и информации, описывающей каждый экземпляр объекта доступа финансовой организации.
Не выявлены.
Не выявлены.
Учет эксплуатируемых общедоступных объектов доступа (в том числе банкоматов, платежных терминалов).
Уровень защиты информации 3-О, 2-О, 1-Т.
Для пояснений
Для реализаций
Для реализаций
Для процедур
Для недостатков
Для мер
Для коллизий
Контроль фактического состава созданных, используемых и (или) эксплуатируемых ресурсов доступа (баз данных, сетевых файловых ресурсов, виртуальных машин) и их корректного размещения в сегментах вычислительных сетей финансовой организации.
Уровень защиты информации 3-О, 2-Т, 1-Т.
Для пояснений
Для реализаций
Для реализаций
Для процедур
Для недостатков
Для мер
Для коллизий
Контроль выполнения операций по созданию, удалению и резервному копированию ресурсов доступа ( баз данных, сетевых файловых ресурсов, виртуальных машин).
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Мера подразумевает контроль за действиями по созданию, удалению, и резервному копированию ресурсов доступа.
Данную меру можно реализовать с использованием: 1. Настройки параметров регистрации Active Directory; 2. Функционала регистрации событий гипервизора (например, Hyper-V); 3. ПО, реализующее необходимый функционал для управления ИТ-активами, в том числе заявками на предоставления ИТ-услуг;
4. Средства централизованного управления ресурсами - например, консоль управления виртуальными машинами, средства мониторинга (Zabbix и т.п.)
Правила корреляции в SIEM-системе
1. Скриншот заявок на удаление/создание/резервное копирование ресурсов доступа;
Скриншоты настроенного функционала регистрации событий по созданию, удалению ресурсов доступа в ПО и АС.
Не выявлены.
Не выявлены.
Не выявлены.
Контроль фактического состава эксплуатируемых объектов доступа и их корректного размещения в сегментах вычислительных сетей финансовой организации.
Уровень защиты информации 3-Н, 2-О, 1-Т.
Для пояснений
Контроль изменения состава ОИИ посредством согласования заявок на изменения + необходимо проводить последующий контроль с заявленной периодичностью.
Использование СЗИ - Контроль сетевых соединений
Для 2 УЗ - проверка фактических объектов доступа на соответствие учетным данным, формируемым в соответствии с ИУ1 и 3, например, в рамках мероприятий по внутреннему контролю.
Для 1 УЗ - + Настойка правил корреляции в SIEM (при наличии) или использование средства класса sGRC, Asset Management
1. Скриншот заявок на ввод\вывод в\из эксплуатацию(и) объектов доступа;
2. Скриншот настроек правил корреляции с SIEM-системе;
Скриншот состава объектов доступа с информацией о расположении их в инфраструктуре из SGRC-систем.
Не выявлены.
Не выявлены.
Не выявлены.
Свидетельствами реализации требования могут быть как сами инвентарные описи используемых в финансовой организации , так и их совокупность, зафиксированная в электронном формате (например, в виде Excel-таблицы).
Требование технического уровня может быть реализовано финансовой организацией при помощи использования специализированного ПО, реализующего функцию учета финансовой организации.
Требование может быть реализовано разными техническими средства финансовой организации, для рекомендуемого основного перечня , представленного ГОСТ Р 57580.1-2017:
АС - перечень автоматизированных систем финансовой организации может вестись в специализированных системах учетаи , например:
Вести инвентарную опись объектов доступаможно и в формате Excel-таблицы, которая будет включать в себя вышеописанную информацию, либо в системах учета материальных ценностей.