ЗВТ.2 – Приказ ФСТЭК России № 117
Управление доступом пользователей
Усиления, обязательные по классам
К2
- 1) идентификация и аутентификация привилегированных пользователей (администраторов, администраторов безопасности) веб-приложения должны осуществляться с использованием ввода второго фактора при использовании многофакторной аутентификации в составе информационной системы в соответствии с мерами защиты информации ИАФ.1, ИАФ.3.
К1
- 1) идентификация и аутентификация привилегированных пользователей (администраторов, администраторов безопасности) веб-приложения должны осуществляться с использованием ввода второго фактора при использовании многофакторной аутентификации в составе информационной системы в соответствии с мерами защиты информации ИАФ.1, ИАФ.3.
Цель
Исключение несанкционированного доступа к объектам доступа, содержащимся в веб-приложении информационной системы (информационной инфраструктуры оператора).
Требования к реализации
В информационной системе должны быть обеспечены:
идентификация и аутентификация пользователей веб-приложения, системы управления контентом веб-приложения в соответствии с мерами защиты информации ИАФ.1, ИАФ.3;
управление доступом пользователей к функциям и данным, хранящимся в веб-приложении, а также в системе управления контентом веб-приложения, в соответствии с мерами защиты информации УПД.1 ‒ УПД.6;
ограничение числа параллельных сеансов доступа к веб-приложению в соответствии с мерой защиты информации УПД.7;
автоматическое завершение сеансов доступа к веб-приложению при неактивности в соответствии с мерой защиты информации УПД.8;
проверка прав доступа субъектов доступа при каждом обращении (запросе) к функциям или данным веб-приложения, включая обработку запросов на чтение и модификацию данных, вызов API-методов, загрузку файлов, за исключением определенных общедоступных ресурсов в соответствии с мерой защиты информации УПД.9.
Возможность идентификации и аутентификации пользователя только на стороне пользователя веб-приложения (например, проверка доступа на уровне JavaScript-кода в веб-браузере) должна быть исключена.
Требования к документированию
Не предъявляются.
Требования к усилению
1) идентификация и аутентификация привилегированных пользователей (администраторов, администраторов безопасности) веб-приложения должны осуществляться с использованием ввода второго фактора при использовании многофакторной аутентификации в составе информационной системы в соответствии с мерами защиты информации ИАФ.1, ИАФ.3.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗВТ — Защита веб-технологий
- Классы защищённости
- К3, К2 (усиления: 1), К1 (усиления: 1)
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.