ЦЗИ 1-11
Базовый состав мер по контролю отсутствия известных (описанных) уязвимостей защиты информации объектов информатизации применительно к уровням защиты информации
Last updated
Базовый состав мер по контролю отсутствия известных (описанных) уязвимостей защиты информации объектов информатизации применительно к уровням защиты информации
Last updated
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей защиты информации, использование которых может позволить осуществить несанкционированное (неконтролируемое) информационное взаимодействие между сегментами контуров безопасности и иными внутренними сетями финансовой организации.
Уровень защиты информации: 3-Н, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации, использование которых может позволить осуществить несанкционированное информационное взаимодействие между сегментами контуров безопасности и иными внутренними сетями финансовой организации может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей защиты информации, использование которых может позволить осуществить несанкционированное (неконтролируемое) информационное взаимодействие между внутренними вычислительными сетями финансовой организации и сетью Интернет.
Уровень защиты информации: 3-О, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации, использование которых может позволить осуществить несанкционированное информационное взаимодействие между внутренними вычислительными сетями финансовой организации и сетью Интернет может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
Требование контроля отсутствия и обеспечения оперативного устранения известных (описанных) уязвимостей защиты информации должно быть указано во внутреннем документе. Контроль может выполняться вручную, проверкой текущих версий ресурсов доступа и проверкой наличия записей об уязвимостях для данной версии в публичных базах уязвимостей, Результаты контроля должны оформляться актами и распоряжениями по устранению уязвимостей с указанием срока устранения, критичности уязвимости. Уязвимость должна быть устранена, а факт зафиксирован в акте устранения и проверен ответственным работником.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Акты проверки версий ПО на наличие уязвимостей в базах данных уязвимостей. Акты результатов устранения уязвимостей ПО.
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей защиты информации, использование которых может позволить осуществить несанкционированное (неконтролируемое) информационное взаимодействие между сегментами, предназначенными для размещения общедоступных объектов доступа (в том числе банкоматов, платежных терминалов), и сетью Интернет.
Уровень защиты информации: 3-О, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации, использование которых может позволить осуществить несанкционированное информационное взаимодействие между сегментами, предназначенными для размещения общедоступных объектов доступа (в том числе банкоматов, платежных терминалов), и сетью Интернет может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
Требование контроля отсутствия и обеспечения оперативного устранения известных (описанных) уязвимостей защиты информации должно быть указано во внутреннем документе. Контроль может выполняться вручную, проверкой текущих версий ресурсов доступа и проверкой наличия записей об уязвимостях для данной версии в публичных базах уязвимостей, Результаты контроля должны оформляться актами и распоряжениями по устранению уязвимостей с указанием срока устранения, критичности уязвимости. Уязвимость должна быть устранена, а факт зафиксирован в акте устранения и проверен ответственным работником.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Акты проверки версий ПО на наличие уязвимостей в базах данных уязвимостей. Акты результатов устранения уязвимостей ПО.
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей защиты информации, использование которых может позволить осуществить несанкционированный логический доступ к ресурсам доступа, размещенным в вычислительных сетях финансовой организации, подключенных к сети Интернет.
Уровень защиты информации: 3-О, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации, использование которых может позволить осуществить несанкционированный логический доступ к ресурсам доступа, размещенным в вычислительных сетях финансовой организации, подключенных к сети Интернет может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
Требование контроля отсутствия и обеспечения оперативного устранения известных (описанных) уязвимостей защиты информации должно быть указано во внутреннем документе. Контроль может выполняться вручную, проверкой текущих версий ресурсов доступа и проверкой наличия записей об уязвимостях для данной версии в публичных базах уязвимостей, Результаты контроля должны оформляться актами и распоряжениями по устранению уязвимостей с указанием срока устранения, критичности уязвимости. Уязвимость должна быть устранена, а факт зафиксирован в акте устранения и проверен ответственным работником.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Акты проверки версий ПО на наличие уязвимостей в базах данных уязвимостей. Акты результатов устранения уязвимостей ПО.
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей защиты информации, использование которых может позволить осуществить несанкционированный удаленный доступ.
Уровень защиты информации: 3-О, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации, использование которых может позволить осуществить несанкционированный удаленный доступ может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
Требование контроля отсутствия и обеспечения оперативного устранения известных (описанных) уязвимостей защиты информации должно быть указано во внутреннем документе. Контроль может выполняться вручную, проверкой текущих версий ресурсов доступа и проверкой наличия записей об уязвимостях для данной версии в публичных базах уязвимостей, Результаты контроля должны оформляться актами и распоряжениями по устранению уязвимостей с указанием срока устранения, критичности уязвимости. Уязвимость должна быть устранена, а факт зафиксирован в акте устранения и проверен ответственным работником.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Акты проверки версий ПО на наличие уязвимостей в базах данных уязвимостей. Акты результатов устранения уязвимостей ПО.
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей защиты информации, использование которых может позволить осуществить несанкционированный логический доступ к ресурсам доступа, размещенным во внутренних вычислительных сетях финансовой организации.
Уровень защиты информации: 3-Н, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации, использование которых может позволить осуществить несанкционированный логический доступ к ресурсам доступа, размещенным во внутренних вычислительных сетях финансовой организации может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей, предусмотренных мерами ЦЗИ.1 — ЦЗИ.6 настоящей таблицы, путем сканирования и анализа параметров настроек серверного и сетевого оборудования.
Уровень защиты информации: 3-Н, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации предусмотренных мерами ЦЗИ.1-ЦЗИ.6 может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение. При этом, должно осуществляться сканирование и анализ настроек используемого серверного и сетевого оборудования.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
* Отчет должен содержать результаты сканирования и анализа параметров настроек серверного и сетевого оборудования.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей, указанных в пунктах ЦЗИ.1 — ЦЗИ.6 настоящей таблицы, путем сканирования и анализа состава, версий и параметров настроек прикладного ПО, ПО АС и системного ПО, реализующего функции обеспечения защиты информации и (или) влияющего на обеспечение защиты информации (далее в настоящем разделе — системное ПО)*, установленного на серверном и сетевом оборудовании.
Уровень защиты информации: 3-Н, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации предусмотренных мерами ЦЗИ.1-ЦЗИ.6 может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение. При этом, должно осуществляться сканирование и анализ состава, версий и параметров настроек прикладного ПО, ПО АС и системного ПО, реализующего функции обеспечения защиты информации и (или) влияющего на обеспечение защиты информации, установленного на серверном и сетевом оборудовании.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
* Отчет должен содержать результаты сканирования и анализа состава, версий и параметров настроек прикладного ПО, ПО АС и системного ПО, реализующего функции обеспечения защиты информации и (или) влияющего на обеспечение защиты информации, установленного на серверном и сетевом оборудовании.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей, предусмотренных мерами ЦЗИ.1 — ЦЗИ.6 настоящей таблицы, путем сканирования и анализа состава, версий и параметров настроек прикладного ПО, ПО АС и (или) системного ПО, установленного на АРМ пользователей и эксплуатационного персонала.
Уровень защиты информации: 3-Н, 2-Т, 1-Т.
Контроль отсутствия уязвимостей защиты информации предусмотренных мерами ЦЗИ.1-ЦЗИ.6 может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение. При этом, должно осуществляться сканирование и анализ состава, версий и параметров настроек прикладного ПО, ПО АС и (или) системного ПО, установленного на АРМ пользователей и эксплуатационного персонала.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
* Отчет должен содержать результаты сканирования и анализа состава, версий и параметров настроек прикладного ПО, ПО АС и (или) системного ПО, установленного на АРМ пользователей и эксплуатационного персонала.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Не выявлены.
Не выявлены.
Не выявлены.
Контроль отсутствия и обеспечение оперативного устранения известных (описанных) уязвимостей, предусмотренных мерами ЦЗИ.1 — ЦЗИ.6 настоящей таблицы, путем сканирования и анализа состава, версий и параметров настроек средств и систем защиты информации.
Уровень защиты информации: 3-Н, 2-Т, 1-Т
Контроль отсутствия уязвимостей защиты информации предусмотренных мерами ЦЗИ.1-ЦЗИ.6 может быть реализован как за счет применения внедренных средств защиты информации – сканеров уязвимостей (например xSpider, OpenVAS и пр.), так и за счет привлечения внешних подрядчиков проводящих работы по анализу уязвимостей и тестированию на проникновение. При этом, должно осуществляться сканирование и анализ состава, версий и параметров настроек средств и систем защиты информации.
Результатом контроля отсутствия указанных уязвимостей будет являться составление отчета о выявленных уязвимостей с рекомендациями по их устранению (отчет может быть сформирован как за счет встроенного функционала используемых сканеров уязвимостей, так и сотрудниками внешних подрядчиков, проводящих работы по анализу уязвимостей и тестированию на проникновение).
Оперативное устранение указанных уязвимостей осуществляется на основании сформированных отчетов о выявленных уязвимостях, путем составления плана мероприятий по устранению уязвимостей, с указанием ответственных за устранение лиц и сроков реализации плана.
В зависимости от применимого варианта реализации контроля отсутствия указанных уязвимостей необходимо предоставить:
А. Отчет о выявленных уязвимостях, сформированный внедренными сканерами уязвимостей;
Б. Отчет о выявленных уязвимостях, сформированный внешними подрядчиками.
* Отчет должен содержать результаты сканирования и анализа состава, версий и параметров настроек средств и систем защиты информации.
Также необходимо предоставить свидетельства оперативного устранения указанных уязвимостей – планы мероприятий по устранению уязвимостей (утвержденные планы в формате внутреннего документа; соответствующие служебные записки и пр.).
Не выявлены.
Не выявлены.
Не выявлены.
Ограничение (запрет) использования на АРМ пользователей и эксплуатационного персонала, задействованных в выполнении бизнес-процессов финансовой организации, ПО, реализующего функции по разработке, отладке и (или) тестированию ПО.
Уровень защиты информации: 3-Н, 2-О, 1-О
Данная мера должна быть регламентирована в документе, определяющем процедуры управления установкой программного обеспечения на объектах доступа. В документе указывается запрет использования на АРМ, используемом для бизнес-процессов для субъектов, кроме участвующих в тестировании, отладке, разработке ПО, систем тестирования, отладки, разработки ПО.
Выгрузка состава ПО с АРМ, участвующих в выполнении бизнес-процессов.
Паспорт рабочего места.
Отчеты систем управления конфигурациями АРМ (инвентаризацией ПО).
Не выявлены.
Не выявлены.
В небольших финансовых организациях эксплуатационный персонал использует свои основные АРМ промышленного сегмента для целей тестирования АС, в том числе решения срочных задач поддержки в ходе выполнения бизнес-процессов, хотя формулировка меры это запрещает.
