УПД.7 – Приказ ФСТЭК России № 117

Ограничение числа параллельных сеансов доступа

Усиления, обязательные по классам

К1

1а) в информационной системе для учетных записей привилегированных пользователей (администраторов, администраторов безопасности) количество параллельных (одновременных) сеансов (сессий) не должно превышать следующих значений:
а) не более 2;

Цель

Ограничение числа параллельных сеансов доступа от имени учетной записи к информационной системе.

Требования к реализации

В информационной системе должны обеспечиваться:

возможность задавать ограничения на число параллельных сеансов доступа, основываясь на идентификаторах учетных записей;

автоматический учет активных сеансов доступа для каждой учетной записи пользователей, устройств и приложений информационной системы;

автоматическое ограничение числа параллельных сеансов доступа для каждой учетной записи пользователей, устройств и приложений информационной системы;

уведомление пользователя при превышении числа параллельных сеансов от имени его учетной записи либо администрируемых или контролируемых пользователем устройств и приложений.

В информационной системе в случае попытки входа от имени учетных записей непривилегированных или привилегированных пользователей, для которых достигнуто максимальное значение допустимых параллельных сеансов, при успешной аутентификации пользователя или администратора должно выдаваться сообщение о превышении числа параллельных сеансов доступа, месте (местах) их предыдущего входа (предыдущих входов) с активными сессиями и предложением отключения этой сессии (этих сессий).

В информационной системе число параллельных сеансов доступа может быть задано для информационной системы в целом, для отдельных сегментов информационной системы, для групп пользователей, отдельных пользователей или их комбинаций.

Требования к документированию

В эксплуатационной документации на информационную систему должны быть определены:

значения максимально допустимого числа параллельных сеансов доступа для различных типов учетных записей;

порядок учета и регистрации активных сеансов доступа для каждой учетной записи;

порядок автоматического учета активных сеансов и реализации заданных ограничений;

порядок уведомления пользователя при превышении числа параллельных сеансов;

порядок оповещения администраторов о превышении лимитов активных сеансов учетных записей;

объем сведений в оповещающем сообщении, например, дата, время, место и устройство предыдущих входов, предложение завершить активные сессии.

Требования к усилению

1) в информационной системе для учетных записей привилегированных пользователей (администраторов, администраторов безопасности) количество параллельных (одновременных) сеансов (сессий) не должно превышать следующих значений:

а) не более 2;

б) не более 1.

Приказ: Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
Группа мер: УПД — Управление доступом
Классы защищённости: К2, К1 (усиления: 1а)
Организационное закрытие: только технически – нужно техническое средство