ЗВТ.1 – Приказ ФСТЭК России № 117
Защита пользовательских данных
Цель
Обеспечение защиты пользовательских данных, передаваемых, обрабатываемых и хранящихся в составе веб-приложения.
Требования к реализации
Сетевое информационное взаимодействие между субъектами доступа и объектами доступа (пользователями и приложениями) должно осуществляться посредством программного интерфейса приложений, защита данных в котором обеспечивается в соответствии с мерой защиты информации ЗПИ.1.
Доступ субъектов доступа к пользовательским данным, хранящимся в веб-приложении, а также доступ к функциям веб-приложения должен осуществляться в соответствии с мерой защиты информации УПД.2.
Сетевое взаимодействие между субъектами и объектами доступа (пользователями и приложениями) должно осуществляться с учетом мер защиты информации ЗКС.1 ‒ ЗКС.5.
Требования к документированию
В эксплуатационной документации на информационную систему должны быть определены:
объекты доступа, содержащиеся в веб-приложении;
перечень типов пользователей веб-приложения.
Требования к усилению
1) в информационной системе должно быть исключено кэширование пользовательских данных, определяемых оператором, в веб-браузере (например, путем использования соответствующих директив заголовков Cache-Control, Pragma протокола передачи гипертекста);
2) в информационной системе должны быть отключены функции автоматического заполнения форм (например, путем установления соответствующего значения атрибута Autocomplete протокола передачи гипертекста) для полей, предназначенных для ввода пользовательских данных, определяемых оператором;
3) в информационной системе должна обеспечиваться защита пользовательских данных от компрометации посредством межсайтового скриптинга путем настойки соответствующих заголовков безопасности протокола передачи гипертекста;
4) в информационной системе должна обеспечиваться защита пользовательских данных от компрометации посредством подмены (перекрытия) элементов графического интерфейса путем контроля вложенности контекстов отображения.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗВТ — Защита веб-технологий
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.