ЗКУ.6 – Приказ ФСТЭК России № 117
Анализ и реагирование на события безопасности
Усиления, обязательные по классам
К2
- 1) реагирование на выявленные признаки компьютерных инцидентов должно включать отправку уведомлений администратору безопасности информационной системы;
К1
- 1) реагирование на выявленные признаки компьютерных инцидентов должно включать отправку уведомлений администратору безопасности информационной системы;
Цель
Исключение несанкционированного доступа к конечным устройствам путем анализа событий безопасности и реагирования на них.
Требования к реализации
Должен выполняться анализ зарегистрированных событий безопасности, по результатам анализа должно осуществляться реагирование на выявленные компьютерные инциденты.
Требования к документированию
Не предъявляются.
Требования к усилению
1) реагирование на выявленные признаки компьютерных инцидентов должно включать отправку уведомлений администратору безопасности информационной системы;
2) должен обеспечиваться анализ зарегистрированных на конечном устройстве событий безопасности системой управления событиями безопасности информации;
3) должно обеспечиваться реагирование на обнаружение компьютерных инцидентов средствами управления инцидентами информационной безопасности (в случае применения средства обнаружения и реагирования на уровне узла с учетом меры защиты информации ЗКУ.3 и наличия в информационной системе системы управления событиями безопасности информации);
4) должны обеспечиваться блокирование и (или) изоляция конечного устройства, на котором выявлены компьютерные инциденты.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗКУ — Защита конечных устройств
- Классы защищённости
- К3, К2 (усиления: 1), К1 (усиления: 1)
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.