ВУ – Приказ ФСТЭК России № 117
Выявление и оценка угроз безопасности информации
Цель
Создание системы защиты информации, направленной на защиту от актуальных угроз безопасности информации (далее ‒ актуальных угроз), а также своевременное выявление признаков реализации актуальных угроз, их оценку и принятие мер по защите информации в ходе эксплуатации информационных систем.
Требования к реализации
Выявление и оценка угроз безопасности информации должны проводиться в ходе создания (развития) информационных систем и в ходе их эксплуатации.
Выявление и оценка угроз безопасности информации должны проводиться для информационных систем с учетом актуальных угроз информационно-телекоммуникационной инфраструктуры, на базе которой они функционируют.
На стадии создания (развития) информационных систем выявление и оценка угроз безопасности информации должны предусматривать определение угроз безопасности информации, оценку возможности их реализации (возникновения) внешними и внутренними нарушителями, определение актуальности угроз безопасности информации в информационных системах с учетом их архитектуры и предполагаемых условий эксплуатации. Результаты выявления и оценки угроз безопасности информации подлежат включению в модель угроз безопасности информации, которая должна содержать характеристики информационных систем и информационно-телекоммуникационной инфраструктуры, на базе которой они функционируют, определяющие архитектуру, применяемые информационные технологии и процессы обработки информации, а также возможности нарушителей, перечень актуальных угроз. Для разработки модели угроз безопасности информации должны применяться методические документы, утвержденные ФСТЭК России.
На стадии эксплуатации информационных систем выявление и оценка угроз безопасности информации должны предусматривать:
анализ актуальных данных о составе информационных систем, их настройках и конфигурациях;
поиск данных и признаков, идентифицирующих актуальные угрозы, с учетом состава информационных систем, их настроек и конфигураций;
приоритизацию выявленных актуальных угроз исходя из критериев возможных последствий их реализации (возникновения);
оповещение заинтересованных подразделений (работников) оператора о выявленных актуальных угрозах;
анализ выявленных актуальных угроз с целью принятия решения о необходимости принятия мер.
В качестве исходных данных для выявления и оценки актуальных угроз используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России (далее ‒ банк данных угроз безопасности информации ФСТЭК России)[3], и иные источники, содержащие сведения об уязвимостях, нарушителях и используемых ими методах и средствах, доступных для оператора (обладателя информации).
Требования к документированию
Не предъявляются.
Требования к усилению
1) выявление и оценка актуальных угроз в ходе эксплуатации информационных систем осуществляются с учетом сведений, содержащихся в системах инвентаризации ИТ-активов;
2) выявление и оценка актуальных угроз в ходе эксплуатации информационных систем обогащаются данными от различных источников (систем управления событиями безопасности, систем обнаружения вторжений, средств антивирусной защиты, средств обнаружения и реагирования на уровне узла, межсетевых экранов и других средств защиты информации);
3) для выявления и оценки актуальных угроз привлекаются специализированные организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации с правом оказания услуг по мониторингу информационной безопасности средств и систем информатизации ‒ центры мониторинга информационной безопасности;
4) для мониторинга актуальных угроз применяются средства анализа угроз, в том числе TI-платформы.
Примечания
[3] Подпункт 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- Мероприятия (процессы) по защите информации
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- только организационными мероприятиями
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.