ЗПИ.1 – Приказ ФСТЭК России № 117
Защита данных API
Усиления, обязательные по классам
К2
- 1) должен осуществляться ежегодный пересмотр режимов и настроек программного обеспечения, реализующего API, с целью выявления уязвимостей его конфигурации.
К1
- 1) должен осуществляться ежегодный пересмотр режимов и настроек программного обеспечения, реализующего API, с целью выявления уязвимостей его конфигурации.
Цель
Исключение несанкционированного доступа к информационной системе при использовании программных интерфейсов взаимодействия приложений (API).
Требования к реализации
При организации сетевого взаимодействия между субъектами доступа (пользователями и приложениями) и объектами доступа посредством API должна обеспечиваться минимизация объема информации, раскрывающей структуру информационной системы, или иной информации, передаваемой посредством API.
В информационной системе должна обеспечиваться минимизация состава информации, возвращаемой в сообщениях об ошибках взаимодействия с API, раскрывающей структуру и особенности функционирования информационной системы или иную конфиденциальную информацию.
Должна обеспечиваться минимизация состава информации, содержащейся в аутентификаторах доступа к API путем исключения данных, раскрывающих структуру информационной системы или иные конфиденциальные сведения.
При сетевом информационном взаимодействии внешних субъектов доступа с API через сеть «Интернет» должна обеспечиваться с учетом мер защиты информации ЗКС.1 ‒ ЗКС.5.
Требования к документированию
В эксплуатационной документации на информационную систему должны быть определены:
перечни API, предоставляемых внешним и внутренним пользователям информационной системой;
требования к режимам и настройкам программного обеспечения, обеспечивающим конфиденциальность информации и служебных данных, передаваемых при получении доступа и взаимодействии с API.
Требования к усилению
1) должен осуществляться ежегодный пересмотр режимов и настроек программного обеспечения, реализующего API, с целью выявления уязвимостей его конфигурации.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗПИ — Защита программных интерфейсов взаимодействия приложений (API)
- Классы защищённости
- К3, К2 (усиления: 1), К1 (усиления: 1)
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.