ПК – Приказ ФСТЭК России № 117
Проведение периодического контроля уровня защищенности информации, содержащейся в информационных системах
Цель
Своевременная оценка возможностей нарушения безопасности информации и (или) нарушения функционирования информационных систем внешними и внутренними нарушителями.
Требования к реализации
Контроль уровня защищенности информации проводится с использованием следующих методов:
выявление уязвимостей информационных систем и экспертная оценка возможности их использования нарушителем для нарушения безопасности информации и (или) нарушения функционирования информационных систем;
тестирование информационных систем путем моделирования реализации актуальных угроз с целью оценки возможностей проникновения в них или повышения привилегий с учетом реализованных мер и применяемых средств защиты информации.
Периодичность и методы контроля уровня защищенности информации устанавливаются оператором во внутренних регламентах по защите информации в соответствии с имеющимися у него силами и выделенными на эти цели средствами. При этом проведение контроля уровня защищенности информации одним из методов должно проводиться не реже чем один раз в три года или после компьютерного инцидента, произошедшего у оператора (обладателя информации). Методы контроля уровня защищенности информации и периодичность его проведения определяются оператором (обладателем информации) во внутреннем регламенте по защите информации.
В случае выявления по результатам контроля уровня защищенности информации возможности реализации актуальных угроз и (или) признаков реализации актуальных угроз структурным подразделением, специалистами по защите информации совместно с подразделением, обеспечивающим функционирование информационных систем, осуществляется разработка и реализация мер, направленных на оперативное их блокирование.
Требования к документированию
Внутренний регламент по порядку контроля уровня защищенности информации, содержащейся в информационных системах, должен содержать:
перечень информационных систем, в отношении которых проводится контроль уровня защищенности информации;
перечень подразделений (работников), ответственных за организацию и проведение контроля уровня защищенности информации;
применяемые методы контроля уровня защищенности информации и используемые при их реализации программные средства контроля;
состав и содержание мероприятий, реализуемых при проведении контроля уровня защищенности информации;
описание действий подразделений (работников) оператора (обладателя информации) при выявлении по результатам контроля уровня защищенности информации недостатков и уязвимостей в системах защиты информационных систем.
Требования к усилению
1) проведение контроля уровня защищенности информации должно проводиться не реже чем один раз в год;
2) проведение тренировок по отработке работниками оператора (обладателя информации) действий по обеспечению требуемого уровня защищенности информации, содержащейся в информационных системах, в условиях реализации актуальных угроз.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- Мероприятия (процессы) по защите информации
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- можно закрыть организационными мероприятиями
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.