КО – Приказ ФСТЭК России № 117
Управление обновлениями
Цель
Своевременная установка обновлений программного обеспечения, устраняющих уязвимости.
Требования к реализации
Управление обновлениями должно предусматривать:
контроль актуальности версий программных, программно-аппаратных средств;
получение обновлений программных, программно-аппаратных средств из источников, содержащих механизмы проверки подлинности и целостности обновлений;
проверку подлинности и целостности обновлений программных, программно-аппаратных средств;
тестирование обновлений до их применения в контурах промышленной эксплуатации информационных систем;
разработку безопасных настроек и конфигураций обновлений программных, программно-аппаратных средств (при необходимости);
применение обновлений программных, программно-аппаратных средств в контурах промышленной эксплуатации информационных систем;
возможность отмены обновлений программного обеспечения, в том числе возможность восстановления программного обеспечения из резервной копии.
Решение о применении обновлений программного обеспечения принимается подразделением (работниками), обеспечивающим функционирование информационных систем, по согласованию со структурным подразделением, специалистами по защите информации. Порядок применения обновлений программного обеспечения устанавливается во внутренних регламентах. Настройки и конфигурации обновлений программного обеспечения определяются во внутренних стандартах.
Для применения обновлений программных, программно-аппаратных средств в информационной инфраструктуре оператора должен быть развернут и функционировать выделенный север обновлений, предназначенный для их распространения и установки в информационных системах. Загрузка и установка в реальном режиме времени (онлайн) обновлений программных, программно-аппаратных средств не допускается за исключением случаев, когда реализована проверка целостности и аутентичности обновлений на основе сертификатов безопасности с применением российских криптографических стандартов.
Сроки применения обновлений программных, программно-аппаратных средств, предназначенных для устранения уязвимостей, устанавливаются во внутреннем регламенте по защите информации в зависимости от сроков устранения уязвимостей соответствующих уровней опасности и рисков, связанных с применением обновлений программных, программно-аппаратных средств.
Требования к документированию
Внутренний регламент по управлению обновлениями должен содержать:
перечень подразделений (работников), ответственных за организацию и контроль управления обновлениями, а также участвующих в реализации процессов управления обновлениями, их обязанности (функции) и права (полномочия);
описание операций, осуществляемых при управлении обновлениями;
схемы взаимодействия подразделений (работников) при реализации операций по управлению обновлениями.
Требования к усилению
1) для контроля актуальности версий программных, программно-аппаратных средств используются данные, содержащиеся в автоматизированных системах сбора и хранения данных об объектах инвентаризации и их конфигурациях (СMDB-системы);
2) для тестирования обновлений применяется тестовая зона информационной системы («песочница»);
3) для применения обновлений программных, программно-аппаратных средств в информационной инфраструктуре оператора должен быть развернут и функционировать выделенный источник (сегмент информационной системы) обновлений, предназначенный для их распространения и установки в информационных системах.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- Мероприятия (процессы) по защите информации
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- можно закрыть организационными мероприятиями
Похожие меры в других приказах
- АНЗ.2 — Приказ ФСТЭК России № 17: Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации
Закрывают: Dr.Web Enterprise Security Suite, MaxPatrol 8, XSpider PRO.
Dr.Web Enterprise Security Suite: Централизованное управление обновлением вирусных баз через единую консоль.
MaxPatrol 8: Контролирует установку обновлений программного обеспечения на проверяемых узлах.
XSpider PRO: Находит устаревшие версии ПО, требующие обновления. - АНЗ.2 — Приказ ФСТЭК России № 21: Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации
Закрывают: Dr.Web Enterprise Security Suite, MaxPatrol 8, XSpider PRO.
Dr.Web Enterprise Security Suite: Централизованное управление обновлением вирусных баз через единую консоль.
MaxPatrol 8: Контролирует установку обновлений программного обеспечения на проверяемых узлах.
XSpider PRO: Находит устаревшие версии ПО, требующие обновления. - ОПО.4 — Приказ ФСТЭК России № 239: Установка обновлений программного обеспечения
- ОПО.4 — Приказ ФСТЭК России № 31: Установка обновлений программного обеспечения
Средства защиты, предназначенные для этой меры
- Dr.Web Enterprise Security Suite (Доктор Веб, Средства антивирусной защиты): Централизованное управление обновлением вирусных баз через единую консоль. (сформировано автоматически, проверяется)
- MaxPatrol 8 (Positive Technologies, Средства анализа защищённости): Контролирует установку обновлений программного обеспечения на проверяемых узлах. (сформировано автоматически, проверяется)
- XSpider PRO (Positive Technologies, Средства анализа защищённости): Находит устаревшие версии ПО, требующие обновления. (сформировано автоматически, проверяется)