ЗПИ.2 – Приказ ФСТЭК России № 117
Управление доступом пользователей и приложений
Цель
Исключение несанкционированного доступа к информационной системе субъектов доступа (пользователей и приложений), взаимодействующих c программным обеспечением информационной системы посредством API, не прошедших процедуру аутентификации.
Требования к реализации
В информационной системе должны быть осуществлены:
определение перечня API, для которых требуется контроль доступа пользователей и приложений;
обеспечение идентификации и аутентификации пользователей, взаимодействующих c программным обеспечением информационной системы посредством API в соответствии с мерами защиты информации ИАФ.1, ИАФ.3;
управление доступом пользователей и приложений, получающих доступ к информационной системе посредством входящих в перечень API, соответствии с мерами защиты информации УПД.1 ‒ УПД.6;
ограничение числа параллельных сеансов доступа к API в соответствии с мерой защиты информации УПД.7;
автоматическое завершение сеансов доступа к API при неактивности в соответствии с мерой защиты информации УПД.8;
проверка прав доступа субъектов доступа при каждом обращении (запросе) к API, за исключением определенных общедоступных ресурсов, в соответствии с мерой защиты информации УПД.9;
установлены ограничения на частоту и объем обращений к программным интерфейсам (API), а также порядок автоматического выявления и пресечения попыток подбора средств аутентификации.
Требования к документированию
Не предъявляются.
Требования к усилению
Не предъявляются.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗПИ — Защита программных интерфейсов взаимодействия приложений (API)
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.