УПД.8 – Приказ ФСТЭК России № 117
Блокирование сеанса доступа пользователя при неактивности
Цель
Обеспечение защиты информационной системы от несанкционированного доступа в случаях, когда субъект доступа оставляет активный сеанс (сессию) без контроля.
Требования к реализации
В информационной системе должно обеспечиваться блокирование сеанса доступа субъекта доступа (пользователя, устройства, приложения) после установленного в информационной системе времени его бездействия (неактивности), а также по запросу субъекта доступа или оператора.
Для заблокированного сеанса должно осуществляться блокирование любых действий по доступу к информации и (или) устройствам отображения, кроме необходимых для разблокирования сеанса.
Разблокирование сеанса доступа субъекта доступа в информационную систему должно осуществляться после повторной аутентификации в соответствии с мерой защиты информации ИАФ.3.
В информационной системе на устройстве отображения (мониторе) после блокирования сеанса не должна отображаться информация сеанса субъекта доступа.
Требования к документированию
В эксплуатационной документации на информационную систему должны быть определены:
значения допустимого времени бездействия для различных категорий пользователей;
порядок реализации автоматического блокирования сеанса при превышении допустимого времени бездействия;
порядок восстановления работы субъекта доступа после блокирования сеанса;
порядок регистрации событий превышения установленного оператором допустимого числа неуспешных попыток разблокирования доступа.
Требования к усилению
1) в информационной системе должно осуществляться завершение сеанса доступа после превышения установленного оператором времени бездействия (неактивности) субъекта доступа;
2) в информационной системе должно осуществляться завершение сеанса доступа после превышения установленного оператором числа неуспешных попыток разблокирования сеанса доступа.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- УПД — Управление доступом
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- только технически – нужно техническое средство
Похожие меры в других приказах
- УПД.10 — Приказ ФСТЭК России № 17: Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу
- УПД.10 — Приказ ФСТЭК России № 21: Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу
- УПД.10 — Приказ ФСТЭК России № 239: Блокирование сеанса доступа пользователя при неактивности
- УПД.10 — Приказ ФСТЭК России № 31: Блокирование сеанса доступа пользователя при неактивности
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.