Перейти к основному содержимому

Обеспечение информационной безопасности (ПОИБ)

Эксплуатация и информационная безопасность​

Система разработана с учётом требований корпоративных стандартов Заказчика и рекомендаций регулирующих органов в области защиты информации. Эксплуатация и техническое обслуживание системы осуществляются в строгом соответствии с принятыми у Заказчика локальными нормативными актами. Ниже представлены ключевые требования, реализованные в продукте.

Размещение и эксплуатация​

  • Размещение компонентов — все компоненты информационной системы размещаются в центрах обработки данных (ЦОД) Заказчика, что обеспечивает полный контроль над инфраструктурой и соблюдение политик безопасности.
  • Эксплуатация и техническое обслуживание — осуществляются только в соответствии с принятыми у Заказчика локальными нормативными актами (политиками, требованиями, процедурами, приказами) и только уполномоченными на то Заказчиком лицами.

Организация доступа​

  • Доступ к ИС предоставляется третьим лицам (для монтажа, наладки, установки) только из внутренней сети Заказчика и способами, утверждёнными локальными нормативными актами Заказчика и/или рекомендациями органов государственной власти, осуществляющих регулирование в области защиты информации.
  • Контроль доступа сторонних организаций — доступ к ИС и её компонентам (в том числе физический) работников сторонних организаций осуществляется только под контролем ответственных за ИС работников Заказчика (эксплуатирующих оборудование или являющихся владельцем ИС).

Сетевая безопасность​

  • Запрет прямого доступа из Интернета — непосредственный (прямой) доступ к ИС из сети Интернет запрещён.
  • Взаимодействие с сетью Интернет — при необходимости взаимодействие компонентов ИС с сетью Интернет реализуется в соответствии с принятыми у Заказчика локальными нормативными актами и рекомендациями регулирующих органов.
  • Запрет передачи конфиденциальной информации — передача конфиденциальной/строго конфиденциальной информации, а также информации с грифом «Для внутреннего использования» в сеть Интернет из ИС исключена.

Конфигурирование и настройка​

  • Отключение неиспользуемых сервисов — сервисы, интерфейсы и протоколы, не имеющие отношения к функционированию ИС и её компонентов (включая сетевое и серверное оборудование, ОС, СУБД, приложения), должны быть отключены.
  • Безопасная настройка компонентов — настройки ОС, СУБД, других программных и программно-аппаратных компонентов ИС и сетевого оборудования соответствуют рекомендациям производителей по безопасной настройке с учётом требований корпоративных стандартов Заказчика и рекомендаций регулирующих органов.

Меры защиты информации​

В информационной системе реализуются следующие меры защиты информации:

  • Идентификация и аутентификация субъектов доступа и объектов доступа.
  • Управление доступом субъектов доступа к объектам доступа.
  • Ограничение программной среды.
  • Защита машинных носителей информации.
  • Регистрация событий безопасности.
  • Антивирусная защита.
  • Обнаружение (предотвращение) вторжений.
  • Контроль (анализ) защищённости информации.
  • Обеспечение целостности информационной системы и информации.
  • Обеспечение доступности информации.
  • Защита среды виртуализации.
  • Защита технических средств.
  • Защита информационной системы, её средств и систем связи и передачи данных.

Обеспечение блокирования угроз​

  • Блокирование угроз безопасности — меры защиты информации, выбираемые для реализации в информационной системе, должны обеспечивать блокирование одной или нескольких угроз безопасности информации, включённых в модель угроз безопасности Компании.
  • Согласование мер защиты — в случае невозможности выполнения какой-либо из указанных мер в ИС, перечень применяемых мер защиты в обязательном порядке согласовывается с функцией информационной безопасности Заказчика.

Разработка модели угроз​

  • Разработка модели угроз и нарушителя — при наличии соответствующих требований информационной безопасности, устанавливаемых ФСБ России, ФСТЭК России для проектируемой/закупаемой информационной системы, Исполнитель обязан разработать и согласовать с Заказчиком модель угроз и модель нарушителя.

Общая спецификация​

Планирование архитектуры и размещения​

  • Участие департамента ИБ — планирование архитектуры и фактического размещения ИС в сетевом контуре Заказчика осуществляется с обязательным привлечением департамента информационной безопасности (ИБ) на всех этапах жизненного цикла ИС в соответствии с регламентами Заказчика.

Разделение компонентов​

  • Логическое и физическое разделение front-end и back-end — если архитектурой ИС предусмотрены front-end и back-end компоненты (серверы), они должны быть логически и физически разделены по разным серверам и подсетям/зонам. При этом не допускается использование виртуальных front-end и back-end серверов, функционирующих на одном аппаратном сервере.

Разделение функциональных возможностей​

  • Разделение ролей администрирования — в информационной системе обеспечено разделение функциональных возможностей по:
  • управлению (администрированию) информационной системой;
  • управлению (администрированию) системой защиты информации (функциями безопасности);
  • функциональным возможностям пользователей по обработке информации.

Контроль использования технологий мобильного кода​

  • Контроль мобильного кода (активного контента) — в информационной системе осуществляется контроль санкционированного использования и исключение несанкционированного использования технологий мобильного кода (активного контента), включая:
  • Java, JavaScript, ActiveX;
  • PDF, Postscript, Flash-анимация, VBScript и иные технологии.
  • Регистрация событий и реагирование — система обеспечивает регистрацию событий, связанных с использованием технологий мобильного кода, их анализ и реагирование на нарушения.
  • Регламентация и согласование — правила и процедуры контроля использования технологий мобильного кода регламентируются в организационно-распорядительных документах Заказчика по защите информации. Размещение кода в обязательном порядке согласовывается с функцией ИБ Заказчика.

Взаимодействие с сетевыми зонами​

Система обеспечивает защищённое взаимодействие с иными информационными системами и информационно-телекоммуникационными сетями в соответствии с корпоративными стандартами Заказчика и рекомендациями регулирующих органов. Ниже представлены ключевые требования, реализованные в продукте.

Защита периметра информационной системы​

  • Управление информационными потоками — система осуществляет управление (контроль) входящими и исходящими информационными потоками на физической и/или логической границе информационной системы (сегментов ИС).
  • Взаимодействие через управляемые сетевые интерфейсы — взаимодействие ИС и/или её сегментов с иными информационными системами и сетями осуществляется только через сетевые интерфейсы, обеспечивающие управление (контроль) информационными потоками с использованием средств защиты информации (управляемые/контролируемые сетевые интерфейсы), установленных на физическом и/или логическом периметре ИС или её отдельных сегментов (маршрутизаторы, межсетевые экраны, коммутаторы, прокси-серверы, шлюзы безопасности, средства построения виртуальных частных сетей и иные средства защиты информации).
  • Регламентация правил защиты периметра — правила и процедуры защиты периметра информационной системы регламентируются в организационно-распорядительных документах Заказчика по защите информации.

Взаимодействие с сетью Интернет​

  • Взаимодействие через МСЭ — взаимодействие между зонами внутренней сети Заказчика и сетью Интернет осуществляется через межсетевой экран (МСЭ) с контролем прохождения (фильтрацией) сетевого трафика между сетевыми узлами, расположенными в разных сетевых зонах, а также между ИС и Интернет.
  • Запрет прямого доступа из Интернета — прямой доступ из сети Интернет к компонентам ИС, размещённым во внутренней сети Заказчика, запрещён.

Доверенные маршруты и атрибуты безопасности​

  • Доверенные маршруты передачи данных — в информационной системе обеспечиваются доверенные маршруты передачи данных между администратором (пользователем) и средствами защиты информации (функциями безопасности средств защиты информации), определяемыми оператором.
  • Передача атрибутов безопасности (меток) — в информационной системе осуществляется передача и сопоставление (сравнение) атрибутов безопасности (меток безопасности) с информацией, которой она обменивается с иными (внешними) информационными системами.

Безопасные протоколы и криптографические алгоритмы​

  • Использование безопасных протоколов — в ИС используются безопасные протоколы взаимодействия между компонентами ИС, а также для взаимодействия между ИС и внешними ИС (HTTPS (TLS версии не ниже 1.2), SFTP/FTPS, SMTP over TLS и т.п.) — только те протоколы, которые требуются для функционирования.
  • Стойкие криптографические алгоритмы — совместно с безопасными протоколами используются стойкие криптографические алгоритмы: 3DES, AES, RSA, ГОСТ 34.13-2018, ГОСТ Р 34.11-2012, ГОСТ 34.10-2012, ГОСТ 34.10-2018, ГОСТ Р 34.12-2015.
  • Двухсторонняя TLS-аутентификация — при реализации безопасных взаимодействий рекомендуется использование двухсторонней TLS (SSL)-аутентификации по серверным и клиентским сертификатам ключей проверки электронной подписи.

Реализация доступов в информационной системе​

Организация доступа для сторонних организаций​

  • Доступ для работников сторонних организаций — доступ к ИС, размещённым в сети Заказчика, для работников сторонних организаций предоставляется только способами, согласованными с Заказчиком.
  • Контролируемый доступ — все подключения сторонних специалистов осуществляются под надзором ответственных лиц Заказчика в соответствии с утверждёнными процедурами.
  • Соответствие политикам безопасности — способы предоставления доступа строго регламентируются локальными нормативными актами Заказчика и/или рекомендациями органов государственной власти в области защиты информации.

Обмен конфиденциальной информацией​

Определение возможности интеграции и обмена​

  • Согласование интеграции и способов обмена — в каждом конкретном случае определение возможности интеграции ИС и допустимых способов обмена информацией с внешними ИС, расположенными в сети Интернет, осуществляется в соответствии с требованиями, зафиксированными в принятых у Заказчика локальных нормативных актах (политиках, требованиях, процедурах), а также с учётом требований законодательства РФ.

Защита тайны связи​

  • Передача сведений, составляющих тайну связи — передача третьим лицам информации, содержащей сведения, составляющие тайну связи, допускается только на основании судебного решения или с согласия абонента.

Защита персональных данных​

  • Передача персональных данных за пределы контролируемых зон — передача информации, содержащей сведения, составляющие персональные данные субъектов персональных данных, по каналам передачи данных, выходящих за пределы контролируемых зон Заказчика, допускается только с использованием сертифицированных ФСБ России средств криптографической защиты информации (СКЗИ).

Требования к применению СКЗИ​

  • Обеспечение защиты при передаче за пределы сетевого контура — способ применения СКЗИ должен обеспечивать защиту информации при её передаче за пределы сетевого контура Заказчика посредством применения средств защиты информации, реализующих:
  • двухстороннюю аутентификацию;
  • шифрование информации на уровне звена данных или сетевом уровне в соответствии с эталонной моделью взаимосвязи открытых систем (пункт 1.7 раздела 1 ГОСТ Р ИСО/МЭК 7498-1-99).
  • Соответствие требованиям регулятора — используемые СКЗИ должны пройти процедуру оценки соответствия требованиям, установленным федеральным органом исполнительной власти в области обеспечения безопасности.

Регистрация событий безопасности​

Определение регистрируемых событий​

  • Описание событий безопасности в эксплуатационной документации — Исполнителем определены и описаны в эксплуатационной документации на ИС события безопасности, подлежащие регистрации в информационной системе.
  • Перечень событий, подлежащих регистрации — к событиям безопасности, регистрируемым в информационной системе, относятся любые проявления состояния ИС и её системы защиты информации, указывающие на:
  • возможность нарушения конфиденциальности, целостности или доступности информации;
  • нарушение доступности компонентов ИС;
  • нарушения процедур, установленных организационно-распорядительными документами по защите информации оператора;
  • нарушение штатного функционирования средств защиты информации.

Содержание записи о событии​

  • Сопоставление с учётной записью пользователя — каждое зарегистрированное событие однозначно сопоставляется с учётной записью пользователя, который был инициатором этого события.
  • Фиксация времени и адреса — для каждого события фиксируется время его совершения и, по возможности, адрес (например, сетевой) инициатора.

Защита журналов регистрации​

  • Разграничение доступа к журналам — реализовано разграничение и обеспечен контроль доступа к журналам регистрации, предотвращающие несанкционированное удаление и/или изменение записей журнала (файла регистрации событий).
  • Регистрация фактов удаления событий — факты удаления событий (очистки журналов регистрации) также подлежат регистрации.

Централизованный сбор и хранение журналов​

  • Централизованный сбор и хранение — реализована возможность централизованного сбора и хранения журналов регистрации событий.
  • Интеграция с корпоративными решениями — поддерживается интерфейс с корпоративными решениями по сбору и хранению журналов (внедрёнными у Заказчика) с использованием стандартизированных протоколов и форматов, таких как:
  • Syslog
  • Windows Event Log
  • Windows File Log
  • Windows WMI Log
  • NetFlow
  • ODBC Log
  • SSH File Log
  • SNMP Traps и другие.

Сроки хранения журналов​

Продолжительность хранения данных (журналов) регистрации событий — ИС обеспечивает хранение журналов в соответствии с требованиями законодательства РФ, но не менее:

Категория ИССрок хранения
ИС, обрабатывающие персональные данные, тайну связи, биллинговые данные, сведения об абонентах4 года
ИС, обрабатывающие банковскую тайну5 лет
ИС, обрабатывающие данные платёжных систем1 год
Остальные ИСне менее 6 месяцев

Криптографическая защита информации​

Применение средств криптографической защиты​

  • Обязательность применения СКЗИ — применение средств криптографической защиты информации обязательно при передаче конфиденциальной информации по открытым (незащищённым) каналам передачи данных.

Криптографические алгоритмы и протоколы​

  • Стойкие криптографические алгоритмы — в системе используются стойкие криптографические алгоритмы и протоколы. Рекомендуется использование следующих промышленных, прошедших тестирование криптографических протоколов и алгоритмов:
  • 3DES, AES, RSA;
  • ГОСТ 34.13-2018;
  • ГОСТ Р 34.11-2012;
  • ГОСТ 34.10-2012;
  • ГОСТ 34.10-2018;
  • ГОСТ Р 34.12-2015.

Интеграция с инфраструктурой открытых ключей​

  • Поддержка интеграции с PKI Заказчика — в ИС, использующих криптографические системы с открытым ключом, необходима поддержка интеграции с инфраструктурой открытых ключей (PKI) Заказчика.

Управление ключевой информацией​

  • Резервное копирование и восстановление ключей — в ИС, использующих СКЗИ, реализованы функции резервного копирования и восстановления ключей шифрования, а также другие функции, связанные с жизненным циклом использования ключевой информации.
  • Документирование процесса управления ключами — процесс управления ключевой информацией (генерация, распределение, хранение, смена, уничтожение) в ИС, использующих СКЗИ, документирован.

Антивирусная защита​

Обнаружение и реагирование на вредоносное ПО​

  • Обнаружение вредоносных программ — система обеспечивает антивирусную защиту информационной системы, включающую обнаружение компьютерных программ либо иной компьютерной информации, предназначенных для:
  • несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации;
  • нейтрализации средств защиты информации.
  • Реагирование на обнаружение — система обеспечивает реагирование на обнаружение вредоносных программ и информации, включая блокирование, карантин, удаление и уведомление администратора в соответствии с установленными правилами.

Регламентация правил антивирусной защиты​

  • Правила и процедуры антивирусной защиты — правила и процедуры антивирусной защиты информационной системы регламентируются в организационно-распорядительных документах Заказчика по защите информации.

Безопасность приложений​

Безопасная разработка​

  • Применение методик безопасной разработки — при проектировании, разработке и тестировании ИС применяются техники и методики безопасной разработки для защиты от возникновения типичных уязвимостей приложений, перечисленных в каталогах:
  • OWASP Top 10;
  • OWASP Mobile Top 10;
  • SEI-CERT;
  • иных каталогах, применяемых согласно предназначению ИС по согласованию с Заказчиком.

Защита слоя представления (интерфейсов)​

  • Проверка вводимых данных — ИС в своём слое представления (интерфейсов к клиентским приложениям или системам) обеспечивает проверку вводимых данных (формат, ограничения) на предмет:
  • ошибок;
  • некорректных данных (в том числе умышленно введённых);
  • данных, приводящих к избыточному использованию ресурсов ИС.
  • Проверка контекста авторизованной сессии — система обеспечивает проверку входных данных на соответствие контексту авторизованной сессии или использует только данные аутентификационного контекста при формировании запросов к компонентам ИС.
  • Защита от инъекций — реализовано квотирование и валидация вводимой и выводимой информации для предотвращения уязвимостей к атакам:
  • XSS (межсайтовый скриптинг);
  • SQL Injection и других видов инъекций.
  • Защита от утечки технической информации — система обеспечивает экранирование выводимой информации для защиты от утечки данных, позволяющих внешней стороне узнать технические подробности устройства ИС или состояния обслуживания конкретных сессий. В особенности скрывается от вызывающей стороны диагностическая информация системных ошибок и исключений.

Очистка продуктивной среды​

  • Удаление служебных и тестовых компонентов — при развёртывании ИС в продуктивную среду (контур Заказчика) гарантированно удаляются все:
  • системные скрипты;
  • тестовые компоненты;
  • отладчики;
  • профилировщики;
  • средства разработки и т.п.
  • Согласование исключений — исключения для средств, необходимых для функционирования ИС в коммерческой эксплуатации и удовлетворения требований эксплуатации, должны быть согласованы с Заказчиком.