ИАФ.3 – Приказ ФСТЭК России № 117

Аутентификация пользователей

Усиления, обязательные по классам

К1

1) при реализации усиленной аутентификации привилегированного пользователя при удаленном доступе требуется наличие у пользователя второго фактора аутентификации ‒ одноразового пароля, создаваемого с применением устройства аутентификации, находящего во владении пользователя;

Цель

Исключение доступа к информационной системе пользователей, не прошедших процедуру аутентификации.

Требования к реализации

Аутентификация пользователей должна проводиться после их идентификации в информационной системе.

Пользователи информационной системы должны однозначно аутентифицироваться для всех видов доступа, кроме тех видов доступа, которые определяются как действия, разрешенные до идентификации и аутентификации в соответствии с мерой защиты информации УПД.9.

Аутентификация пользователей осуществляется с учетом положений национальных стандартов ГОСТ Р 58833-2020 «Защита информации. Идентификация и аутентификация. Общие положения» и ГОСТ Р 70262.2-2025 «Идентификация и аутентификация. Уровни доверия аутентификации».

Аутентификация для пользователя должна производиться при каждом запросе на доступ в информационную систему, а также к ресурсам (объектам защиты) информационной системы. Например, при входе в информационную систему пользователь проходит аутентификацию в операционной системе, а затем аутентификацию при запросе на доступ к ресурсам информационной системы, под которыми понимаются системы управления базами данных, веб-порталы, системы электронного документооборота и иные ресурсы.

При локальном доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутреннего непривилегированного пользователя должна как минимум осуществляться простая (парольная) аутентификация.

При использовании простой (парольной) аутентификации пользователей для доступа в информационную систему и к ресурсам (объектам защиты) информационной системы длина пароля должна быть не менее 12 символов. Алфавит паролей не менее 70 символов, максимальное количество неуспешных попыток ввода неправильного пароля до блокировки учетной записи пользователя – 5, блокировка программно-технического средства или учетной записи пользователя в случае достижения установленного максимального количества неуспешных попыток аутентификации на 15 минут, смена паролей не более чем через 90 дней. Запрещается повторно использовать пароль для доступа в информационную систему и к ресурсам (объектам защиты) информационной системы.

Защита обратной связи «система-пользователь» в процессе простой (парольной) аутентификации обеспечивается исключением отображения для пользователя действительного значения аутентификационной информации и (или) количества вводимых пользователем символов аутентификационной информации. Вводимые символы пароля могут отображаться условными знаками «*», «•» или иными знаками.

Усиленная аутентификация пользователей должна осуществляться при следующих условиях:

при удаленном доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутреннего непривилегированного пользователя;

при локальном доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутреннего привилегированного пользователя;

при удаленном доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутреннего привилегированного пользователя.

При доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внешнего непривилегированного пользователя должна осуществляться простая (парольная) аутентификация.

При доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутреннего непривилегированного пользователя с мобильных устройств, входящих в состав информационной системы, и с личных мобильных устройств должна осуществляться усиленная аутентификация.

Удаленный доступ в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутренних привилегированных пользователей с личных мобильных устройств не допускается.

В таблице определены виды аутентификации, минимально необходимые для разных типов пользователей и условий доступа в информационную систему в зависимости от класса защищённости.

Принятые обозначения:

П – простая (парольная) аутентификация;

У – усиленная (двухфакторная) аутентификация.

Аутентификация внешних пользователей в целях предоставления государственных услуг осуществляется в том числе с использованием единой системы идентификации и аутентификации, созданной в соответствии с постановлением Правительства Российской Федерации от 28 ноября 2011 г. № 977.

В информационной системе должна обеспечиваться блокировка доступа к информационной системе для пользователей, не прошедших процедуру аутентификации.

В информационной системе должно быть реализовано управление аутентификаторами (аутентификационной информацией) пользователей, включающее:

изменение аутентификационной информации (аутентификаторов), заданной производителями и (или) используемых при внедрении системы защиты информации информационной (автоматизированной) системы;

генерацию и выдачу аутентификационной информации;

блокирование (прекращение действия) и замену утерянных, скомпрометированных или поврежденных аутентификаторов;

обновление аутентификационной информации (замену аутентификаторов) с периодичностью, установленной оператором;

защиту аутентификационной информации от неправомерного доступа к ней и модификации.

Аутентификация пользователей обеспечивается применением входящих в состав информационной системы операционной системы, и (или) средств защиты информации от несанкционированного доступа, и (или) средств защиты информации, обеспечивающих управление аутентификационной информацией.

Требования к документированию

В эксплуатационной документации на информационную систему должны быть определены:

требования к аутентификации пользователей при осуществлении доступа в информационную систему и ресурсам (объектам защиты) информационной системы, включающие вид аутентификации для каждого типа пользователей, типа доступа, ресурсов (объектов защиты), к которым пользователь получает доступ;

состав аутентификационной информации для каждого типа пользователей;

правила формирования (создания) уникальных аутентификаторов, их присвоения пользователям, регистрации аутентификаторов в информационной системе;

порядок привязки аутентификационной информации к пользователю;

порядок аутентификации, порядок действий при выявлении несоответствий, правила ее проведения;

перечень исключений и порядок действий в случае, если объем аутентификационных данных недостаточен;

правила хранения, поддержания актуального состояния (обновления) аутентификационной информации пользователей, периодичности обновления (актуализации), места ее хранения, организации доступа к ней.

Требования к усилению

1) при реализации усиленной аутентификации привилегированного пользователя при удаленном доступе требуется наличие у пользователя второго фактора аутентификации ‒ одноразового пароля, создаваемого с применением устройства аутентификации, находящего во владении пользователя;

2) при реализации усиленной аутентификации привилегированного пользователя при удаленном доступе требуется наличие у пользователя второго фактора аутентификации – владения физическим (аппаратным) устройством, знание секрета, подтверждающего право владения (распоряжения) этим устройством и (или) его биометрические данные;

3) при локальном доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутреннего непривилегированного пользователя должна осуществляться усиленная аутентификация;

4) при доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внешнего пользователя должна осуществляться усиленная аутентификация;

5) при удаленном доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутреннего непривилегированного пользователя должна осуществляться строгая аутентификации;

6) при удаленном доступе в информационную систему, а также к ресурсам (объектам защиты) информационной системы внутреннего привилегированного пользователя должна осуществляться строгая аутентификация;

7) в информационной системе должны использоваться автоматизированные средства, обеспечивающие контроль правил генерации и смены паролей пользователей;

8) в информационной системе должны применяться средства централизованного управления аутентификаторами (аутентификационной информацией) пользователей;

9) устройства аутентификации не должны входить в состав объекта доступа (в том числе средство вычислительной техники, конечное устройство, мобильное устройство) и должны быть физически отделены от него;

10) при реализации строгой аутентификации требуется наличие у пользователя второго фактора аутентификации – владения физическим (аппаратным) устройством с поддержкой криптографии, неизвлекаемым закрытым ключом, энергонезависимой памятью для хранения цифровых сертификатов, а также знание секрета (ПИН-кода устройства). Срок действия цифровых сертификатов при использовании аппаратных средств аутентификации с неизвлекаемым закрытым ключом не должен превышать 3 лет, в остальных случаях – не более 1 года. Для реализации строгой аутентификации в информационной системе с доменной архитектурой должны быть развернуты корпоративный центр выпуска, обслуживания и валидации цифровых сертификатов доступа (центр сертификации), система централизованного управления жизненным циклом цифровых сертификатов и средств аутентификации. На клиентской стороне должна быть обеспечена поддержка необходимых криптографических протоколов аутентификации (например, Kerberos, TLS) с использованием цифровых сертификатов и средств строгой аутентификации. При отсутствии (или невозможности) взаимодействия с центром сертификации, выполняющим функцию третьей доверенной стороны, информационная система может использовать списки действительных и аннулированных (отозванных) сертификатов или другие методы проверки аутентификационной информации. Для информационных систем, в состав которых входит менее 50 рабочих мест, в которых отсутствует домен безопасности и центр сертификации, для внутренних пользователей допускается применение усиленной аутентификации с использованием компенсирующих мер защиты информации, усиливающих привязку пользователя к используемому им физическому (аппаратному) средству аутентификации. Например, использование биометрии или мобильного телефона пользователя в качестве второго фактора с установленным приложением-генератором одноразовых паролей, получением SMS, push-уведомлений;

11) в информационной системе должны быть определены меры по исключению возможности использования пользователями их идентификаторов и аутентификационной информации в других информационных системах.

Приказ: Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
Группа мер: ИАФ — Идентификация и аутентификация
Классы защищённости: К3, К2, К1 (усиления: 1)
Организационное закрытие: только технически – нужно техническое средство

Средства защиты, предназначенные для этой меры

Secret Net Studio (Код Безопасности, Средства защиты информации от несанкционированного доступа): Идентификация и аутентификация пользователей — паролем или аппаратными идентификаторами (eToken, Rutoken, JaCarta, ESMART). (сформировано автоматически, проверяется)
UserGate NGFW (UserGate, Средства обеспечения сетевой безопасности): Идентификация пользователей по технологии UserID — Kerberos, Radius, NTLM, события LDAP-серверов, независимо от точки и метода аутентификации. (сформировано автоматически, проверяется)
Блокхост-Сеть 4 (Газинформсервис, Средства защиты информации от несанкционированного доступа): Идентификация и аутентификация пользователей через интеграцию с Active Directory, FreeIPA, Samba, ALD Pro. (сформировано автоматически, проверяется)

Все меры приказа · Перекрытие мер приказа