ИУ 1-6
Базовый состав мер по организации учета и контроля состава ресурсов и объектов доступа
ИУ.1 (О-Т-Т)
Учет созданных, используемых и (или) эксплуатируемых ресурсов доступа.
Уровень защиты информации 3-О, 2-Т, 1-Т.
Реализация - О (3 УЗ)
Требование организационного уровня может быть реализовано финансовой организацией через составление инвентарных описей используемых ресурсов доступа.
В состав таких описей как минимум стоит включать информацию, необходимую для функционирования рассматриваемых ресурсов доступа:
тип обеъекта доступа;
формат ресурса доступа;
размещение ресурса доступа;
информация о резервировании ресурса доступа;
информация о значимости (ценности) для бизнеса финансовой организации.
Вести инвентарную опись ресурсов доступа можно и в формате Excel-таблицы, которая будет включать в себя вышеописанную информацию.
Проверочные процедуры (свидетельства)
Свидетельствами реализации требования могут быть как сами инвентарные описи используемых в финансовой организации ресурсов доступа, так и их совокупность, зафиксированная в электронном формате (например, в виде Excel-таблицы).
Типичные недостатки
При стремительно меняющейся ИТ-инфраструктуре организации основным недостатком в реализации требования является актуальность поддерживаемого перечня ресурсов доступа и информации, описывающей каждый из ресурсов доступа финансовой организации.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
Реализация - Т (1 и 2 УЗ)
Требование технического уровня может быть реализовано финансовой организацией при помощи использования специализированного ПО, реализующего функцию учета ресурсов доступа финансовой организации.
Требование говорит о необходимости централизованной инвентаризации всех ресурсов доступа одной системой учета.
Требование может быть реализовано разными техническими средства финансовой организации, для рекомендуемого основного перечня ресурсов доступа, представленного ГОСТ Р 57580.1-2017:
АС - перечень автоматизированных систем финансовой организации может вестись в специализированных системах учета объектов и ресурсов доступа, например:
2. Базы данных - перечень баз данных, может быть зафиксирован при помощи систем управления базами данных финансовой организации. При выборе определенной СУБД стоит опираться на особенности их функционирования.
3. Сетевые файловые ресурсы - перечень сетевых файловых ресурсов можно фиксировать при помощи специализированного ПО, обеспечивающего учет и аудит событий таких ресурсов.
4. Виртуальные машины - перечень виртуальных машин может быть зафиксирован при помощи централизованной системы управления виртуальными машинами.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
При стремительно меняющейся ИТ-инфраструктуре организации основным недостатком в реализации требования является актуальность поддерживаемого перечня ресурсов доступа и информации, описывающей каждый из ресурсов доступа финансовой организации.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ИУ.2 (О-О-Т)
Учет созданных, используемых и (или) эксплуатируемых объектов доступа.
Уровень защиты информации 3-О, 2-О, 1-Т.
Пояснение
Мера определяет требования к учету созданных, используемых и эксплуатируемых объектов доступа финансовой организации.
Реализация - О (3 УЗ)
Требование организационного уровня может быть реализовано финансовой организацией через составление инвентарных описей используемых объектов доступа, к которым относятся экземпляры физического оборудования.
В состав таких описей как минимум стоит включать информацию, необходимую для функционирования рассматриваемых объектов доступа:
тип объекта доступа (сервер, рабочая станция, банкомат, платежный терминал);
формат объектов доступа;
место размещения объекта доступа;
информация о наличии резерва у объекта доступа;
информация о значимости (ценности) для бизнеса финансовой организации.
Вести инвентарную опись объектов доступа можно и в формате Excel-таблицы, которая будет включать в себя вышеописанную информацию, либо в системах учета материальных ценностей.
Реализация - Т
Данную меру можно реализовать с использованием: 1. Ведение учета материальных ценностей в специализированных системах;
2. CRM-системы с возможностью составления заявок на доступ к объектам, учета жизненного цикла объекта, формирования перечня субъектов доступа;
1. CMDB, SCCM – систем
2. СЗИ (например, Kaspersky Security Center) - контроль объектов доступа (диски, устройства, файлы, каталоги), приложений, устройств, печати.
3. Системы для мониторинга оборудования (например, Zabbix)
4. Инвентаризации объектов доступа средствами Microsoft Excel.
Проверочные процедуры (свидетельства) - О
Свидетельствами реализации требования могут быть как сами инвентарные описи используемых в финансовой организации объектов доступа, так и их совокупность, зафиксированная в электронном формате (например, в виде Excel-таблицы).
Проверочные процедуры (свидетельства) - Т
1. Выгрузка таблиц или реестров инвентаризации с зафиксированными инвентарными номера для всех используемых и эксплуатируемых объектов доступа;
Скриншоты из ПО, реализующим инвентаризацию объектов доступа.
Типичные недостатки
При стремительно меняющейся ИТ-инфраструктуре организации основным недостатком в реализации требования является актуальность поддерживаемого перечня объектов доступа и информации, описывающей каждый экземпляр объекта доступа финансовой организации.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ИУ.3 (О-О-Т)
Учет эксплуатируемых общедоступных объектов доступа (в том числе банкоматов, платежных терминалов).
Уровень защиты информации 3-О, 2-О, 1-Т.
Пояснение
Для пояснений
Реализация - О
Для реализаций
Реализация - Т
Для реализаций
Проверочные процедуры (свидетельства)
Для процедур
Типичные недостатки
Для недостатков
Компенсационные меры
Для мер
Выявленные коллизии
Для коллизий
ИУ.4 (О-Т-Т)
Контроль фактического состава созданных, используемых и (или) эксплуатируемых ресурсов доступа (баз данных, сетевых файловых ресурсов, виртуальных машин) и их корректного размещения в сегментах вычислительных сетей финансовой организации.
Уровень защиты информации 3-О, 2-Т, 1-Т.
Пояснение
Для пояснений
Реализация - О
Для реализаций
Реализация - Т
Для реализаций
Проверочные процедуры (свидетельства)
Для процедур
Типичные недостатки
Для недостатков
Компенсационные меры
Для мер
Выявленные коллизии
Для коллизий
ИУ.5 (Н-Т-Т)
Контроль выполнения операций по созданию, удалению и резервному копированию ресурсов доступа ( баз данных, сетевых файловых ресурсов, виртуальных машин).
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Пояснение
Мера подразумевает контроль за действиями по созданию, удалению, и резервному копированию ресурсов доступа.
Реализация - Т
Данную меру можно реализовать с использованием: 1. Настройки параметров регистрации Active Directory; 2. Функционала регистрации событий гипервизора (например, Hyper-V); 3. ПО, реализующее необходимый функционал для управления ИТ-активами, в том числе заявками на предоставления ИТ-услуг;
4. Средства централизованного управления ресурсами - например, консоль управления виртуальными машинами, средства мониторинга (Zabbix и т.п.)
Правила корреляции в SIEM-системе
Проверочные процедуры (свидетельства)
1. Скриншот заявок на удаление/создание/резервное копирование ресурсов доступа;
Скриншоты настроенного функционала регистрации событий по созданию, удалению ресурсов доступа в ПО и АС.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ИУ.6 (Н-О-Т)
Контроль фактического состава эксплуатируемых объектов доступа и их корректного размещения в сегментах вычислительных сетей финансовой организации.
Уровень защиты информации 3-Н, 2-О, 1-Т.
Пояснение
Для пояснений
Реализация - О
Контроль изменения состава ОИИ посредством согласования заявок на изменения + необходимо проводить последующий контроль с заявленной периодичностью.
Реализация - Т
Использование СЗИ - Контроль сетевых соединений
Для 2 УЗ - проверка фактических объектов доступа на соответствие учетным данным, формируемым в соответствии с ИУ1 и 3, например, в рамках мероприятий по внутреннему контролю.
Для 1 УЗ - + Настойка правил корреляции в SIEM (при наличии) или использование средства класса sGRC, Asset Management
Проверочные процедуры (свидетельства)
1. Скриншот заявок на ввод\вывод в\из эксплуатацию(и) объектов доступа;
2. Скриншот настроек правил корреляции с SIEM-системе;
Скриншот состава объектов доступа с информацией о расположении их в инфраструктуре из SGRC-систем.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
Last updated