ИАФ.2 – Приказ ФСТЭК России № 117

Идентификация устройств

Цель

Исключение подключения к информационным системам неидентифицированных устройств.

Требования к реализации

В информационной системе должен быть определен перечень типов сетевых устройств (в том числе серверы, автоматизированные рабочие места, телекоммуникационное оборудование, мобильные устройства, системы хранения данных), используемых в информационной системе.

Идентификации подлежат:

сетевые устройства, входящие в состав информационной системы (в том числе серверы, автоматизированные рабочие места, телекоммуникационное оборудование, системы хранения данных);

мобильные устройства внутренних пользователей информационной системы (при их подключении к информационной системе);

устройства, предназначенные для удаленного доступа работников подрядных организаций, иных государственных органов, организаций к информационным системам, содержащейся в них информации, и (или) передачи им информации.

Процесс идентификации должен осуществляться в два этапа ‒ первичная идентификация и вторичная идентификация[11].

В ходе первичной идентификации в информационной системе должны быть определены уникальные признаки (атрибуты) каждого устройства (идентификационные данные). В качестве признаков (атрибутов) устройств могут использоваться логические имена (имя устройства и (или) ID), логические адреса (например, IP-адреса) и (или) физические адреса (например, МАС-адреса) устройств или их комбинации.

Каждому устройству информационной системы должен быть присвоен уникальный идентификатор или их комбинация для доступа в информационные системы.

Первичная идентификация устройств осуществляется единожды при регистрации каждого нового устройства.

Основанием для отказа в первичной идентификации является несоответствие заявленных идентификационных данных требованиям к первичной идентификации или невозможность их подтверждения в установленном порядке.

По результатам первичной идентификации у оператора должен быть сформирован перечень всех идентификаторов устройств, используемых в информационной системе.

В ходе вторичной идентификации выполняется проверка наличия у устройства, от имени которого осуществляется запрос доступа в информационную систему, идентификатора доступа.

При наличии предъявленного идентификатора доступа в перечне присвоенных идентификаторов процесс вторичной идентификации считается успешно пройденным, затем проводится аутентификация устройств в соответствии с мерой защиты информации ИАФ.4.

Вторичная идентификация проводится при каждом запросе на подключение устройства к информационной системе оператора (при начале информационного взаимодействия).

Идентификация устройств обеспечивается применением серверной операционной системы и (или) прошивкой сетевого устройства или иных средствам.

Требования к документированию

В эксплуатационной документации на информационную систему должны быть определены:

перечень типов устройств;

порядок верификации (проверки и подтверждения) идентификационной информации устройств, порядка действий при выявлении несоответствий, правил ее проведения;

порядок привязки идентификационной информации к устройству для каждой конкретной среды функционирования, условий эксплуатации и обслуживания;

состав идентификационных данных для каждого типа устройств минимально необходимый для однозначной идентификации устройств (объем, состав и уникальные признаки (атрибуты);

перечень исключений и порядок действий в случае, если объем идентификационных данных устройства недостаточен;

правила формирования (создания) уникальных идентификаторов, их присвоения устройствам, регистрации идентификаторов в информационной системе;

порядок действий оператора информационной системы по идентификации устройств.

Требования к усилению

1) проведение инвентаризации идентификационных данных в информационной системе устройств не реже чем один раз в два года для информационных систем 1 класса защищенности;

2) проведение инвентаризации идентификационных данных в информационной системе устройств не реже чем один раз в три года для информационных систем 2 и 3 классов защищенности;

3) применение вспомогательных атрибутов (электронных идентификаторов с уникальным машиночитаемым номером, встроенных модулей безопасности, средств доверенной загрузки);

4) реализация системы централизованного управления жизненным циклом цифровых сертификатов, электронных идентификаторов, встроенных модулей безопасности;

5) для информационных систем с доменной архитектурой:

наличие у оператора информационной системы центра сертификации, обеспечивающего регистрацию устройств, а также выпуск, обслуживание и валидацию машинных сертификатов (цифровых сертификатов доступа), доставку и установку выпущенных сертификатов в обслуживаемые устройства с использованием различных протоколов;

реализация (встроенная поддержка) протоколов аутентификации и работы с цифровыми сертификатами в устройстве (при наличии сетевых функций).

Примечания

[11] Национальный стандарт Российской Федерации ГОСТ Р 58833-2020 «Защита информации. Идентификация и аутентификация. Общие положения»

Приказ: Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
Группа мер: ИАФ — Идентификация и аутентификация
Организационное закрытие: только технически – нужно техническое средство

Ни в один базовый набор не входит – применяется при адаптации набора и как компенсирующая мера.