УПД.1 – Приказ ФСТЭК России № 117
Реализация модели управления доступом
Усиления, обязательные по классам
К2
- 1) модель управления доступом должна быть согласована с моделями доступа, применяемыми в операционных системах, системах управления базами данных, средствах виртуализации, средствах контейнеризации, иных средствах защиты информации;
- 2) модель управления доступом должна обеспечивать реализацию управления доступом между субъектами и объектами доступа, являющимися устройствами и (или) приложениями;
К1
- 1) модель управления доступом должна быть согласована с моделями доступа, применяемыми в операционных системах, системах управления базами данных, средствах виртуализации, средствах контейнеризации, иных средствах защиты информации;
- 2) модель управления доступом должна обеспечивать реализацию управления доступом между субъектами и объектами доступа, являющимися устройствами и (или) приложениями;
Цель
Определение и реализация модели управления доступом субъектов к объектам доступа в информационной системе.
Требования к реализации
В информационной системе должна быть реализована модель управления доступом, формализующая методы управления доступом, типы доступа субъектов к объектам доступа и правила управления доступа субъектов доступа к объектам доступа, реализуемые в информационной системе.
Разработка модели управления доступом осуществляется с учетом положений национальных стандартов ГОСТ Р 59453.1-2021 «Защита информации. Формальная модель управления доступом. Часть 1. Общие положения», ГОСТ Р 59453.3-2025 «Защита информации. Формальная модель управления доступом. Часть 3. Рекомендации по разработке».
В информационной системе должны быть реализованы один или несколько методов управления доступом, к которым относятся:
дискреционный метод управления доступом;
ролевой метод управления доступом;
мандатный метод управления доступом;
атрибутный метод управления доступом.
В информационной системе в зависимости от реализуемых методов управления доступом необходимо определить несколько из указанных критериев:
типы субъектов и объектов доступа (например, пользователи, устройства, приложения (процессы), файлы и иные субъекты и объекты доступа);
типы учетных записей (ролей) субъектов доступа (внутреннего пользователя, внешнего пользователя; непривилегированная, привилегированная; постоянная, временная, гостевая и (или) иные типы учетных записей субъектов доступа);
типы доступа субъектов к объектам доступа (права доступа) (например, операции по чтению, записи, удалению, выполнению, администрированию, экспорту/импорту данных, созданию резервных копий, изменению политик безопасности и иные типы доступа субъектов доступа к объектам доступа);
правила разграничения доступа субъектов доступа к объектам доступа в информационной системе в соответствии с заданными методами управления доступом.
Модель управления доступом должна пересматриваться ежегодно или при внесении изменений в методы и типы субъектов и объектов доступа, а также типы доступа субъектов к объектам доступа.
В информационной системе должна быть реализована модель управления доступом за счет применения в информационной системе операционных систем, систем управления базами данных, средств виртуализации, средств контейнеризации, средств доверенной загрузки, иных средств защиты информации.
Требования к документированию
В эксплуатационной документации на информационную систему должны быть определены:
используемые методы управления доступом;
перечни субъектов и объектов доступа;
правила управления доступом субъектов доступа к объектам доступа;
средства защиты информации, реализующие правила управления доступом.
Требования к усилению
1) модель управления доступом должна быть согласована с моделями доступа, применяемыми в операционных системах, системах управления базами данных, средствах виртуализации, средствах контейнеризации, иных средствах защиты информации;
2) модель управления доступом должна обеспечивать реализацию управления доступом между субъектами и объектами доступа, являющимися устройствами и (или) приложениями;
3) модель управления доступом должна реализовываться на уровне сегментов информационной системы (микросегментов, информационных ресурсов, приложений) путем применения межсетевых экранов уровня приложений, многофункциональных межсетевых экранов уровня сети, средств виртуализации.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- УПД — Управление доступом
- Классы защищённости
- К3, К2 (усиления: 1, 2), К1 (усиления: 1, 2)
- Организационное закрытие
- только технически – нужно техническое средство
Похожие меры в других приказах
- УПД.2 — Приказ ФСТЭК России № 17: Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа
Закрывают: Secret Net Studio, ViPNet Coordinator, vGate, Блокхост-Сеть 4.
Secret Net Studio: Реализует дискреционное и мандатное управление доступом к ресурсам АРМ/сервера.
ViPNet Coordinator: Ролевая модель доступа к консоли управления с аудитом действий администраторов.
vGate: Разграничение доступа к объектам виртуальной инфраструктуры (гибкая модель прав).
Блокхост-Сеть 4: Реализует модель разграничения доступа к ресурсам защищаемого узла. - УПД.2 — Приказ ФСТЭК России № 21: Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа
- УПД.2 — Приказ ФСТЭК России № 239: Реализация модели управления доступом
Закрывают: Secret Net Studio, ViPNet Coordinator, vGate, Блокхост-Сеть 4, Kaspersky Endpoint Security (встроенная возможность).
Secret Net Studio: Реализует дискреционное и мандатное управление доступом к ресурсам АРМ/сервера.
ViPNet Coordinator: Ролевая модель доступа к консоли управления с аудитом действий администраторов.
vGate: Разграничение доступа к объектам виртуальной инфраструктуры (гибкая модель прав).
Блокхост-Сеть 4: Реализует модель разграничения доступа к ресурсам защищаемого узла.
Kaspersky Endpoint Security: Частично реализуется путем назначении пользователям (группам пользователей) определенного набора прав (или отсутствием таких) работы с функциями ПО KES - УПД.2 — Приказ ФСТЭК России № 31: Реализация политик управления доступа
Закрывают: Secret Net Studio, ViPNet Coordinator, vGate, Блокхост-Сеть 4, Kaspersky Endpoint Security (встроенная возможность).
Secret Net Studio: Реализует дискреционное и мандатное управление доступом к ресурсам АРМ/сервера.
ViPNet Coordinator: Ролевая модель доступа к консоли управления с аудитом действий администраторов.
vGate: Разграничение доступа к объектам виртуальной инфраструктуры (гибкая модель прав).
Блокхост-Сеть 4: Реализует модель разграничения доступа к ресурсам защищаемого узла.
Kaspersky Endpoint Security: Частично реализуется путем назначении пользователям (группам пользователей) определенного набора прав (или отсутствием таких) работы с функциями ПО KES
Средства защиты, предназначенные для этой меры
- Secret Net Studio (Код Безопасности, Средства защиты информации от несанкционированного доступа): Реализует дискреционное и мандатное управление доступом к ресурсам АРМ/сервера. (сформировано автоматически, проверяется)
- ViPNet Coordinator (ИнфоТеКС, Средства обеспечения сетевой безопасности): Ролевая модель доступа к консоли управления с аудитом действий администраторов. (сформировано автоматически, проверяется)
- vGate (Код Безопасности, Средства защиты информации от несанкционированного доступа): Разграничение доступа к объектам виртуальной инфраструктуры (гибкая модель прав). (сформировано автоматически, проверяется)
- Блокхост-Сеть 4 (Газинформсервис, Средства защиты информации от несанкционированного доступа): Реализует модель разграничения доступа к ресурсам защищаемого узла. (сформировано автоматически, проверяется)