Приказ Федеральной службы по техническому и экспортному контролю от 09.08.2018 № 138

 



     ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ

                              ПРИКАЗ

                              Москва

     9 августа 2018 г.                                  № 138


      О внесении изменений в Требования к обеспечению защиты
        информации в автоматизированных системах управления
        производственными и технологическими процессами на
         критически важных объектах, потенциально опасных
       объектах, а также объектах, представляющих повышенную
       опасность для жизни и здоровья людей и для окружающей
     природной среды, утвержденные приказом Федеральной службы
        по техническому и экспортному контролю от 14 марта
     2014 г. № 31, и в Требования по обеспечению безопасности
           значимых объектов критической информационной
         инфраструктуры Российской Федерации, утвержденные
     приказом Федеральной службы по техническому и экспортному
               контролю от 25 декабря 2017 г. № 239

        Зарегистрирован Минюстом России 5 сентября 2018 г.
                      Регистрационный № 52071

     Внести  в  Требования  к  обеспечению  защиты   информации   в
автоматизированных   системах   управления   производственными    и
технологическими  процессами   на   критически   важных   объектах,
потенциально опасных объектах,  а  также  объектах,  представляющих
повышенную опасность для жизни и здоровья людей  и  для  окружающей
природной  среды,  утвержденные  приказом  Федеральной  службы   по
техническому  и  экспортному  контролю  от  14 марта  2014 г.  № 31
(зарегистрирован Министерством юстиции Российской Федерации 30 июня
2014 г.,  регистрационный  № 32919)  (с   изменениями,   внесёнными
приказом Федеральной службы по техническому и экспортному  контролю
от 23 марта 2017 г.  № 49  (зарегистрирован  Министерством  юстиции
Российской Федерации 25 апреля 2017 г., регистрационный № 46487), и
в  Требования  по  обеспечению   безопасности   значимых   объектов
критической  информационной  инфраструктуры  Российской  Федерации,
утвержденные  приказом  Федеральной  службы   по   техническому   и
экспортному контролю от 25 декабря 2017 г.  № 239  (зарегистрирован
Министерством  юстиции  Российской  Федерации   26 марта   2018 г.,
регистрационный № 50524) изменения согласно приложению к настоящему
приказу.


     ДИРЕКТОР ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО
     ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ                    В.СЕЛИН


                           _____________


                                                  Приложение
                                            к приказу ФСТЭК России
                                            9 августа 2018 г. № 138


      Изменения, которые вносятся в Требования к обеспечению
          защиты информации в автоматизированных системах
          управления производственными и технологическими
      процессами на критически важных объектах, потенциально
        опасных объектах, а также объектах, представляющих
       повышенную опасность для жизни и здоровья людей и для
         окружающей природной среды, утвержденные приказом
     Федеральной службы по техническому и экспортному контролю
      от 14 марта 2014 г. № 31, и в Требования по обеспечению
     безопасности значимых объектов критической информационной
         инфраструктуры Российской Федерации, утвержденные
     приказом Федеральной службы по техническому и экспортному
               контролю от 25 декабря 2017 г. № 239

     1. В   Требованиях   к   обеспечению   защиты   информации   в
автоматизированных   системах   управления   производственными    и
технологическими  процессами   на   критически   важных   объектах,
потенциально опасных объектах,  а  также  объектах,  представляющих
повышенную опасность для жизни и здоровья людей  и  для  окружающей
природной  среды,  утвержденных  приказом  Федеральной  службы   по
техническому и экспортному контролю от 14 марта 2014 г. № 31:
     1) пункт 1 после абзаца первого дополнить  абзацем  следующего
содержания:
     "Обеспечение    безопасности     автоматизированных     систем
управления,    являющихся    значимыми    объектами     критической
информационной инфраструктуры Российской Федерации,  осуществляется
в соответствии с Требованиями по обеспечению безопасности  значимых
объектов  критической  информационной   инфраструктуры   Российской
Федерации,   утвержденными   приказом   Федеральной    службы    по
техническому и экспортному контролю от 25 декабря 2017 г. № 239,  а
также Требованиями к созданию систем безопасности значимых объектов
критической информационной инфраструктуры  Российской  Федерации  и
обеспечению их функционирования, утвержденными приказом Федеральной
службы по техническому и экспортному контролю от 21 декабря 2017 г.
№ 235  (зарегистрирован   Минюстом   России   22 февраля   2018 г.,
регистрационный № 50118).";
     2) абзацы первый - четвертый подпункта 13.3 пункта 13 изложить
в следующей редакции:
     "13.3. Определение     угроз      безопасности      информации
осуществляется на  каждом  из  уровней  автоматизированной  системы
управления и должно включать:
     а) выявление источников угроз безопасности информации и оценку
возможностей (потенциала) внешних и внутренних нарушителей;
     б) анализ возможных уязвимостей автоматизированной  системы  и
входящих в ее состав программных и программно-аппаратных средств;
     в) определение  возможных  способов   (сценариев)   реализации
(возникновения) угроз безопасности информации;
     г) оценку возможных последствий от реализации  (возникновения)
угроз  безопасности   информации,   нарушения   отдельных   свойств
безопасности      информации       (целостности,       доступности,
конфиденциальности)  и  автоматизированной  системы  управления   в
целом.
     В качестве исходных данных при определении угроз  безопасности
информации используется банк данных угроз безопасности  информации,
ведение которого  осуществляется  ФСТЭК  России  в  соответствии  с
подпунктом  21  пункта  8  Положения  о   Федеральной   службе   по
техническому   и   экспортному   контролю,   утвержденного   Указом
Президента  Российской  Федерации  от  16 августа  2004 г.   № 1085
(Собрание  законодательства  Российской  Федерации,   2004,   № 34,
ст. 3541;  2006,  № 49,  ст. 5192;  2008,  № 43,  ст. 4921;   № 47,
ст. 5431; 2012, № 7, ст. 818; 2013, № 26, ст. 3314; № 52, ст. 7137;
2014, № 36, ст. 4833; № 44,  ст. 6041;  № 4,  ст. 641;  2016,  № 1,
ст. 211; 2017, № 48, ст. 7198; 2018, № 20, ст. 2818), а также  иные
источники,   содержащие   сведения   об   уязвимостях   и   угрозах
безопасности информации.";
     3) в подпункте 15.3 пункта 15:
     после абзаца второго дополнить абзацем следующего содержания:
     "определение администратора безопасности информации;";
     в абзаце четвертом после  слов  "персонала  автоматизированной
системы   управления"   дополнить   словами    "и    администратора
безопасности информации";
     4) пункт 18 изложить в следующей редакции:
     "18. Организационные и  технические  меры  защиты  информации,
реализуемые в автоматизированной системе  управления  в  рамках  ее
системы  защиты,  в  зависимости  от  класса  защищенности,   угроз
безопасности     информации,     используемых     технологий      и
структурно-функциональных характеристик автоматизированной  системы
управления и особенностей ее функционирования должны обеспечивать:
     идентификацию и аутентификацию (ИАФ);
     управление доступом (УПД);
     ограничение программной среды (ОПС);
     защиту машинных носителей информации (ЗНИ);
     аудит безопасности (АУД);
     антивирусную защиту (АВЗ);
     предотвращение вторжений (компьютерных атак) (СОВ);
     обеспечение целостности (ОЦЛ);
     обеспечение доступности (ОДТ);
     защиту технических средств и систем (ЗТС);
     защиту  информационной  (автоматизированной)  системы   и   ее
компонентов (ЗИС);
     реагирование на компьютерные инциденты (ИНЦ);
     управление конфигурацией (УКФ);
     управление обновлениями программного обеспечения (ОПО);
     планирование мероприятий по обеспечению безопасности (ПЛН);
     обеспечение действий в нештатных ситуациях (ДНС);
     информирование и обучение персонала (ИПО).
     Состав  мер  защиты  информации  и  их  базовые   наборы   для
соответствующих  классов  защищенности  автоматизированных   систем
управления приведены в приложении № 2 к настоящим Требованиям.
     Содержание  мер  и  правила  их   реализации   устанавливаются
методическим документом, разработанным ФСТЭК России в  соответствии
с пунктом 5 и подпунктом 4 пункта 8 Положения о Федеральной  службе
по  техническому  и  экспортному  контролю,  утвержденного   Указом
Президента Российской Федерации от 16 августа 2004 г. № 1085.";
     5) подпункты 18.1 - 18.21 пункта 18 признать утратившими силу.
     6) приложение № 2 к указанным Требованиям изложить в следующей
редакции:

                                         "Приложение № 2
                               к Требованиям к обеспечению защиты
                                 информации в автоматизированных
                              системах управления производственными
                                  и технологическими процессами
                                 на критически важных объектах,
                                 потенциально опасных объектах,
                                а также объектах, представляющих
                                    повышенную опасность для
                                     жизни и здоровья людей
                                и для окружающей природной среды


                   Состав мер защиты информации
          и их базовые наборы для соответствующего класса
        защищенности автоматизированной системы управления

|--------|--------------------------------------|------------------|
|Условное|       Меры защиты информации в       |      Классы      |
|обозна- |автоматизированных системах управления|   защищенности   |
|чение и |                                      |автоматизированной|
|  номер |                                      |системы управления|
|  меры  |                                      |                  |
|        |                                      |-----|-----|------|
|        |                                      |  3  |  2  |   1  |
|--------|--------------------------------------|-----|-----|------|
|             I. Идентификация и аутентификация (ИАФ)              |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.0 | Разработка политики идентификации и  |  +  |  +  |  +   |
|        |            аутентификации            |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.1 |    Идентификация и аутентификация    |  +  |  +  |  +   |
|        |   пользователей и инициируемых ими   |     |     |      |
|        |              процессов               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.2 |    Идентификация и аутентификация    |  +  |  +  |  +   |
|        |              устройств               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.3 |     Управление идентификаторами      |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.4 | Управление средствами аутентификации |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.5 |Идентификация и аутентификация внешних|  +  |  +  |  +   |
|        |            пользователей             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.6 |     Двусторонняя аутентификация      |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.7 | Защита аутентификационной информации |  +  |  +  |  +   |
|        |             при передаче             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|                  II. Управление доступом (УПД)                   |
|--------|--------------------------------------|-----|-----|------|
|  УПД.0 |    Разработка политики управления    |  +  |  +  |  +   |
|        |               доступом               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.1 |     Управление учетными записями     |  +  |  +  |  +   |
|        |            пользователей             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.2 |Реализация политик управления доступа |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  УПД.3 |         Доверенная загрузка          |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  УПД.4 |    Разделение полномочий (ролей)     |  +  |  +  |  +   |
|        |            пользователей             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.5 |Назначение минимально необходимых прав|  +  |  +  |  +   |
|        |             и привилегий             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.6 |Ограничение неуспешных попыток доступа|  +  |  +  |  +   |
|        |в информационную (автоматизированную) |     |     |      |
|        |               систему                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.7 | Предупреждение пользователя при его  |     |     |      |
|        |  доступе к информационным ресурсам   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.8 | Оповещение пользователя при успешном |     |     |  +   |
|        |      входе предыдущем доступе к      |     |     |      |
|        | информационной (автоматизированной)  |     |     |      |
|        |               системе                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.9 |Ограничение числа параллельных сеансов|     |     |  +   |
|        |               доступа                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.10 |     Блокирование сеанса доступа      |  +  |  +  |  +   |
|        |    пользователя при неактивности     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.11 |Управление действиями пользователей до|  +  |  +  |  +   |
|        |    идентификации и аутентификации    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.12 |  Управление атрибутами безопасности  |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.13 |  Реализация защищенного удаленного   |  +  |  +  |  +   |
|        |               доступа                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.14 |     Контроль доступа из внешних      |  +  |  +  |  +   |
|        | информационных (автоматизированных)  |     |     |      |
|        |                систем                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|             III. Ограничение программной среды (ОПС)             |
|--------|--------------------------------------|-----|-----|------|
| ОПС.0  |   Разработка политики ограничения    |     |  +  |  +   |
|        |          программной среды           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПС.1  |  Управление запуском (обращениями)   |     |     |  +   |
|        | компонентов программного обеспечения |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПС.2  | Управление установкой (инсталляцией) |     |  +  |  +   |
|        | компонентов программного обеспечения |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПС.3  |    Управление временными файлами     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|          IV. Защита машинных носителей информации (ЗНИ)          |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.0  | Разработка политики защиты машинных  |  +  |  +  |  +   |
|        |         носителей информации         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.1  |  Учет машинных носителей информации  |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.2  |   Управление физическим доступом к   |  +  |  +  |  +   |
|        |    машинным носителям информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.3  |    Контроль перемещения машинных     |     |     |      |
|        |   носителей информации за пределы    |     |     |      |
|        |         контролируемой зоны          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.4  |        Исключение возможности        |     |     |      |
|        |несанкционированного чтения информации|     |     |      |
|        |   на машинных носителях информации   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.5  |  Контроль использования интерфейсов  |  +  |  +  |  +   |
|        |ввода (вывода) информации на машинные |     |     |      |
|        |         носители информации          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.6  |Контроль ввода (вывода) информации на |     |     |  +   |
|        |     машинные носители информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.7  |    Контроль подключения машинных     |  +  |  +  |  +   |
|        |         носителей информации         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.8  | Уничтожение (стирание) информации на |  +  |  +  |  +   |
|        |    машинных носителях информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|                   V. Аудит безопасности (АУД)                    |
|--------|--------------------------------------|-----|-----|------|
| АУД.0  |      Разработка политики аудита      |  +  |  +  |  +   |
|        |             безопасности             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| АУД.1  |Инвентаризация информационных ресурсов|  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.2  |  Анализ уязвимостей и их устранение  |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.3  |Генерирование временных меток и (или) |  +  |  +  |  +   |
|        |   синхронизация системного времени   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| АУД.4  |   Регистрация событий безопасности   |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.5  |  Контроль и анализ сетевого трафика  |     |     |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.6  |     Защита информации о событиях     |  +  |  +  |  +   |
|        |             безопасности             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| АУД.7  |       Мониторинг безопасности        |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.8  | Реагирование на сбои при регистрации |  +  |  +  |  +   |
|        |         событий безопасности         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| АУД.9  |    Анализ действий пользователей     |     |     |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.10 |    Проведение внутренних аудитов     |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.11 |      Проведение внешних аудитов      |     |     |  +   |
|--------|--------------------------------------|-----|-----|------|
|                  VI. Антивирусная защита (АВЗ)                   |
|--------|--------------------------------------|-----|-----|------|
|  АВЗ.0 |   Разработка политики антивирусной   |  +  |  +  |  +   |
|        |                защиты                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  АВ3.1 |    Реализация антивирусной защиты    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  АВ3.2 |Антивирусная защита электронной почты |  +  |  +  |  +   |
|        |           и иных сервисов            |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  АВЗ.3 |   Контроль использования архивных,   |     |     |  +   |
|        |  исполняемых и зашифрованных файлов  |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  АВ3.4 |   Обновление базы данных признаков   |  +  |  +  |  +   |
|        |  вредоносных компьютерных программ   |     |     |      |
|        |              (вирусов)               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  АВ3.5 |  Использование средств антивирусной  |     |     |  +   |
|        |   защиты различных производителей    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|     VII. Предотвращение вторжений (компьютерных атак) (СОВ)      |
|--------|--------------------------------------|-----|-----|------|
|  СОВ.0 |  Разработка политики предотвращения  |     |  +  |  +   |
|        |    вторжений (компьютерных атак)     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  СОВ.1 |     Обнаружение и предотвращение     |     |  +  |  +   |
|        |          компьютерных атак           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  СОВ.2 |   Обновление базы решающих правил    |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|               VIII. Обеспечение целостности (ОЦЛ)                |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.0  |   Разработка политики обеспечения    |  +  |  +  |  +   |
|        |             целостности              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.1  |  Контроль целостности программного   |  +  |  +  |  +   |
|        |             обеспечения              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.2  |   Контроль целостности информации    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.3  |  Ограничения по вводу информации в   |     |     |  +   |
|        | информационную (автоматизированную)  |     |     |      |
|        |               систему                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.4  |     Контроль данных, вводимых в      |     |  +  |  +   |
|        | информационную (автоматизированную)  |     |     |      |
|        |               систему                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.5  |     Контроль ошибочных действий      |     |  +  |  +   |
|        |    пользователей по вводу и (или)    |     |     |      |
|        | передаче информации и предупреждение |     |     |      |
|        | пользователей об ошибочных действиях |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.6  |Обезличивание и (или) деидентификация |     |     |      |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|                IX. Обеспечение доступности (ОДТ)                 |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.0  |   Разработка политики обеспечения    |  +  |  +  |  +   |
|        |             доступности              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.1  |    Использование отказоустойчивых    |     |  +  |  +   |
|        |         технических средств          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.2  |   Резервирование средств и систем    |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.3  |Контроль безотказного функционирования|     |  +  |  +   |
|        |           средств и систем           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.4  |   Резервное копирование информации   |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.5  |Обеспечение возможности восстановления|  +  |  +  |  +   |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.6  |Обеспечение возможности восстановления|  +  |  +  |  +   |
|        |программного обеспечения при нештатных|     |     |      |
|        |              ситуациях               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.7  |     Кластеризация информационной     |     |     |      |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.8  |       Контроль предоставляемых       |  +  |  +  |  +   |
|        |  вычислительных ресурсов и каналов   |     |     |      |
|        |                связи                 |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|           X. Защита технических средств и систем (ЗТС)           |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.0  |Разработка политики защиты технических|  +  |  +  |  +   |
|        |           средств и систем           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.1  |    Защита информации от утечки по    |     |     |      |
|        |         техническим каналам          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.2  |   Организация контролируемой зоны    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.3  |    Управление физическим доступом    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.4  |     Размещение устройств вывода      |  +  |  +  |  +   |
|        |(отображения) информации, исключающее |     |     |      |
|        |   ее несанкционированный просмотр    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.5  |    Защита от внешних воздействий     |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.6  | Маркирование аппаратных компонентов  |     |     |      |
|        |  системы относительно разрешенной к  |     |     |      |
|        |         обработке информации         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|    XI. Защита информационной (автоматизированной) системы и ее   |
|                       компонентов (ЗИС)                          |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.0  |      Разработка политики защиты      |  +  |  +  |  +   |
|        | информационной (автоматизированной)  |     |     |      |
|        |       системы и ее компонентов       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.1  |   Разделение функций по управлению   |  +  |  +  |  +   |
|        |  (администрированию) информационной  |     |     |      |
|        |(автоматизированной) системой с иными |     |     |      |
|        |              функциями               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.2  |   Защита периметра информационной    |  +  |  +  |  +   |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.3  |Эшелонированная защита информационной |  +  |  +  |  +   |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.4  |    Сегментирование информационной    |     |  +  |  +   |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.5  | Организация демилитаризованной зоны  |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.6  |     Управление сетевыми потоками     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.7  |    Использование эмулятора среды     |     |     |      |
|        |    функционирования программного     |     |     |      |
|        |      обеспечения ("песочница")       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.8  | Сокрытие архитектуры и конфигурации  |  +  |  +  |  +   |
|        | информационной (автоматизированной)  |     |     |      |
|        |               системы                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.9  |     Создание гетерогенной среды      |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.10 |      Использование программного      |     |     |      |
|        |обеспечения, функционирующего в средах|     |     |      |
|        |    различных операционных систем     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.11 |Предотвращение задержки или прерывания|     |     |      |
|        |    выполнения процессов с высоким    |     |     |      |
|        |  приоритетом со стороны процессов с  |     |     |      |
|        |          низким приоритетом          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.12 |    Изоляция процессов (выполнение    |     |     |      |
|        |программ) в выделенной области памяти |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.13 |      Защита неизменяемых данных      |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.14 |   Использование неперезаписываемых   |     |     |      |
|        |    машинных носителей информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.15 |  Реализация электронного почтового   |     |     |      |
|        |    обмена с внешними сетями через    |     |     |      |
|        |ограниченное количество контролируемых|     |     |      |
|        |                точек                 |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.16 |           Защита от спама            |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.17 |     Защита информации от утечек      |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.18 |Блокировка доступа к сайтам или типам |     |     |      |
|        | сайтов, запрещенных к использованию  |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.19 | Защита информации при ее передаче по |  +  |  +  |  +   |
|        |            каналам связи             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.20 |    Обеспечение доверенных канала,    |  +  |  +  |  +   |
|        |               маршрута               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.21 | Запрет несанкционированной удаленной |  +  |  +  |  +   |
|        |   активации периферийных устройств   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.22 |Управление атрибутами безопасности при|     |     |      |
|        |взаимодействии с иными информационными|     |     |      |
|        |   (автоматизированными) системами    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.23 |Контроль использования мобильного кода|     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.24 | Контроль передачи речевой информации |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.25 |  Контроль передачи видеоинформации   |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.26 |Подтверждение происхождения источника |     |     |      |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.27 |   Обеспечение подлинности сетевых    |     |  +  |  +   |
|        |              соединений              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.28 |   Исключение возможности отрицания   |     |  +  |  +   |
|        |         отправки информации          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.29 |   Исключение возможности отрицания   |     |  +  |  +   |
|        |         получения информации         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.30 |Использование устройств терминального |     |     |      |
|        |               доступа                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.31 |  Защита от скрытых каналов передачи  |     |     |  +   |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.32 |    Защита беспроводных соединений    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.33 |Исключение доступа через общие ресурсы|     |     |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.34 |Защита от угроз отказа в обслуживании |  +  |  +  |  +   |
|        |           (DOS, DDOS-атак)           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.35 |   Управление сетевыми соединениями   |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.36 |Создание (эмуляция) ложных компонентов|     |     |      |
|        | информационных (автоматизированных)  |     |     |      |
|        |                систем                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.37 |        Перевод информационной        |     |     |      |
|        |    (автоматизированной) системы в    |     |     |      |
|        |безопасное состояние при возникновении|     |     |      |
|        |           отказов (сбоев)            |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.38 | Защита информации при использовании  |  +  |  +  |  +   |
|        |         мобильных устройств          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.39 | Управление перемещением виртуальных  |  +  |  +  |  +   |
|        | машин (контейнеров) и обрабатываемых |     |     |      |
|        |            на них данных             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|       XII. Реагирование на компьютерные инциденты (ИНЦ)          |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.0  | Разработка политики реагирования на  |  +  |  +  |  +   |
|        |        компьютерные инциденты        |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.1  |  Выявление компьютерных инцидентов   |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.2  |    Информирование о компьютерных     |  +  |  +  |  +   |
|        |              инцидентах              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.3  |    Анализ компьютерных инцидентов    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.4  | Устранение последствий компьютерных  |  +  |  +  |  +   |
|        |              инцидентов              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.5  |    Принятие мер по предотвращению    |  +  |  +  |  +   |
|        |повторного возникновения компьютерных |     |     |      |
|        |              инцидентов              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.6  |    Хранение и защита информации о    |     |     |  +   |
|        |       компьютерных инцидентах        |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|               XIII. Управление конфигурацией (УКФ)               |
|--------|--------------------------------------|-----|-----|------|
| УКФ.0  |    Разработка политики управления    |  +  |  +  |  +   |
|        |     конфигурацией информационной     |     |     |      |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УКФ.1  |  Идентификация объектов управления   |     |     |      |
|        |            конфигурацией             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УКФ.2  |        Управление изменениями        |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| УКФ.3  |    Установка (инсталляция) только    |  +  |  +  |  +   |
|        |     разрешенного к использованию     |     |     |      |
|        |       программного обеспечения       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УКФ.4  |    Контроль действий по внесению     |     |     |      |
|        |              изменений               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|   XIV. Управление обновлениями программного обеспечения (ОПО)    |
|--------|--------------------------------------|-----|-----|------|
| ОПО.0  |    Разработка политики управления    |  +  |  +  |  +   |
|        |обновлениями программного обеспечения |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПО.1  |     Поиск, получение обновлений      |  +  |  +  |  +   |
|        |     программного обеспечения от      |     |     |      |
|        |        доверенного источника         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПО.2  |   Контроль целостности обновлений    |  +  |  +  |  +   |
|        |       программного обеспечения       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПО.3  | Тестирование обновлений программного |  +  |  +  |  +   |
|        |             обеспечения              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПО.4  |  Установка обновлений программного   |  +  |  +  |  +   |
|        |             обеспечения              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  XV. Планирование мероприятий по обеспечению безопасности (ПЛН)  |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.0  |   Разработка политики планирования   |  +  |  +  |  +   |
|        |  мероприятий по обеспечению защиты   |     |     |      |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.1  |Разработка, утверждение и актуализация|  +  |  +  |  +   |
|        |   плана мероприятий по обеспечению   |     |     |      |
|        |          защиты информации           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.2  |  Контроль выполнения мероприятий по  |  +  |  +  |  +   |
|        |    обеспечению защиты информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|       XVI. Обеспечение действий в нештатных ситуациях (ДНС)      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.0  |   Разработка политики обеспечения    |  +  |  +  |  +   |
|        |    действий в нештатных ситуациях    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.1  |Разработка плана действий в нештатных |  +  |  +  |  +   |
|        |              ситуациях               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.2  |    Обучение и отработка действий     |  +  |  +  |  +   |
|        |   персонала в нештатных ситуациях    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.3  |Создание альтернативных мест хранения |     |  +  |  +   |
|        |   и обработки информации на случай   |     |     |      |
|        |   возникновения нештатных ситуаций   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.4  |     Резервирование программного      |     |  +  |  +   |
|        |  обеспечения, технических средств,   |     |     |      |
|        |каналов связи на случай возникновения |     |     |      |
|        |          нештатных ситуаций          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.5  |Обеспечение возможности восстановления|  +  |  +  |  +   |
|        | информационной (автоматизированной)  |     |     |      |
|        |    системы в случае возникновения    |     |     |      |
|        |          нештатных ситуаций          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.6  |Анализ возникших нештатных ситуаций и |  +  |  +  |  +   |
|        |    принятие мер по недопущению их    |     |     |      |
|        |       повторного возникновения       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|        XVII. Информирование и обучение персонала (ИПО)           |
|--------|--------------------------------------|-----|-----|------|
| ИПО.0  | Разработка политики информирования и |  +  |  +  |  +   |
|        |          обучения персонала          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИПО.1  | Информирование персонала об угрозах  |  +  |  +  |  +   |
|        | безопасности информации и о правилах |     |     |      |
|        |          безопасной работы           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИПО.2  |Обучение персонала правилам безопасной|  +  |  +  |  +   |
|        |                работы                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИПО.3  |  Проведение практических занятий с   |     |  +  |  +   |
|        |  персоналом по правилам безопасной   |     |     |      |
|        |                работы                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИПО.4  |Контроль осведомленности персонала об |  +  |  +  |  +   |
|        | угрозах безопасности информации и о  |     |     |      |
|        |      правилах безопасной работы      |     |     |      |
|--------|--------------------------------------|-----|-----|------|

     "+" - мера защиты информации включена в базовый набор мер  для
соответствующего  класса  защищенности  автоматизированной  системы
управления.
     Меры  защиты   информации,   не   обозначенные   знаком   "+",
применяются при адаптации и дополнении базового набора мер, а также
при   разработке   компенсирующих   мер   защиты    информации    в
автоматизированной  системе  управления   соответствующего   класса
защищенности.".
     2. В приложении  к  Требованиям  по  обеспечению  безопасности
значимых   объектов   критической   информационной   инфраструктуры
Российской Федерации, утвержденным приказом Федеральной  службы  по
техническому и экспортному контролю от  25 декабря  2017 г.  № 239,
строку седьмую раздела XVI изложить в следующей редакции:
"
|------|------------------------------------------------|--|--|--|
|ДНС.6 |Анализ возникших нештатных ситуаций и принятие  |+ |+ |+ |
|      |мер по недопущению их повторного возникновения  |  |  |  |
|------|------------------------------------------------|--|--|--|
                                                                 ".


                           ____________