Методические рекомендации по проведению контроля состояния системы
 Скачать 149.79 Kb.
|
|
МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ по проведению контроля состояния системы защиты информации в учреждениях Термины и определения Система защиты информации – совокупность органов и (или) исполнителей, используемой ими техники защиты информации, а также объектов защиты информации, организованная и функционирующая по правилам и нормам, установленным соответствующими документами в области защиты информации. Социальный инжиниринг – совокупность приёмов, методов и технологий создания такого пространства, условий и обстоятельств, максимально эффективно приводящей к конкретному необходимому результату с использованием социологии и психологии. Тестирование на проникновение – оценка безопасности информационной системы или компьютерных сетей средствами моделирования (имитации) действий потенциального злоумышленника (нарушителя). Уровень зрелости – этап развития организации в соответствии со стандартизованными моделями оценки уровня зрелости управления. Уровни проходятся последовательно и определяются различными характеристиками, включающими миссию, ценности, стратегию, организационную структуру. Хост – любое устройство, предоставляющее сервисы формата "клиент– сервер" в режиме сервера по каким–либо интерфейсам и уникально определённое на этих интерфейсах. В более частном случае под хостом могут понимать любой компьютер, сервер, подключённый к локальной или глобальной сети. Общие сведения Методические рекомендации по проведению контроля состояния системы защиты информации в организациях и учреждениях, подведомственных органам исполнительной власти края (далее – методические рекомендации) разработаны во исполнение п. 2.3.3 Протокола заседания совета по информационной безопасности при Губернатора края от 11.12.2018 № 69. Методические рекомендации предназначены для организации работ по защите любой информации, за исключением сведений, составляющих государственную тайну. Методические рекомендации предназначены для организаций и учреждений, подведомственных органам исполнительной власти края (далее – подведомственные учреждения) и не исключают обязанность исполнения иных требований по защите информации. Виды контроля состояния системы защиты информации Контроль состояния системы защиты информации бывает внешним и внутренним. Внешний инспекционный контроль проводится федеральными органами исполнительной власти, уполномоченными в области защиты информации (далее – регуляторы). Также внешний контроль может проводиться курирующим органом исполнительной власти края. Внутренний контроль организуется и проводится сотрудниками, ответственными за обеспечение безопасности информации, назначенными правовым актом подведомственного учреждения (далее – ответственный за обеспечение безопасности информации). Виды внутреннего контроля: выполнение требований действующего законодательства в области защиты информации; оценка состояния защищенности локальной вычислительной сети; оценка уязвимостей; тестирование на проникновение. Внешний контроль. Внешний контроль проводится регуляторами по соответствующим планам работ. За подготовку к внешнему контролю рекомендуется назначать ответственного за обеспечение безопасности информации. Руководители структурных подразделений подведомственного учреждения оказывают всестороннее содействие в работе назначенного сотрудника. Согласно части 8 статьи 16 Федерального закона от 26.12.2008 № 294-ФЗ "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" целесообразно вести журнал учета проверок. Типовая форма приведена в приложении № 1. Внутренний контроль. Выполнение требований действующего законодательства в области защиты информации. Выполнение требований действующего законодательства в области защиты информации проводится для процессов, в рамках которых обрабатывается информация ограниченного доступа, а также другая информация, если это установлено действующим законодательством (обработка персональных данных без использования средств автоматизации, служебное делопроизводство документов с пометкой "для служебного пользования", организация работ с средствами криптографической защитой информации, функционирование государственных информационных систем, информационных систем персональных данных, объектов ключевой информационной инфраструктуры и т.п.). Мероприятия по контролю соблюдения требований действующего законодательства в области защиты информации включают проверку выполнения: организационных мер; технических мер. Типовой перечень рассматриваемых вопросов приведен в приложении №2. Приложенный типовой перечень не включает вопросы защиты объектов критической информационной инфраструктуры. Мероприятия по контролю соблюдения требований действующего законодательства рекомендуется проводить ответственному за обеспечение безопасности информации при всестороннем содействии всех сотрудников подведомственного учреждения. Рекомендуемая периодичность проведения мероприятий – не реже 1 раза в год. Оценка состояния защищенности локальной вычислительной сети. Оценка состояния защищенности локальной вычислительной сети может проводиться собственными силами и (или) с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Оценку состояния защищенности локальной вычислительной сети целесообразно проводить на любом уровне зрелости управления процессами информационной безопасности. Типовой перечень вопросов, рассматриваемых в ходе контрольных мероприятий приведен в приложении №3. Рекомендуемая периодичность проведения оценки состояния защищенности локальной вычислительной сети – не реже 1 раза в год. Тестирование на проникновение. Тестирование на проникновение могут проводиться собственными силами и (или) с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Тестирование на проникновение проводится компетентными сотрудниками в области компьютерных атак. Типы тестирования на проникновение: Командное взаимодействие при проведении тестирования на проникновение (Red Team). Мероприятия проводятся с одной стороны в режиме проведения реальных компьютерных атак (этичный хакинг) и противодействия атакам со стороны ответственных за обеспечение безопасности информации, с другой стороны. Целью проведения таких мероприятий является проверка эффективности деятельности ответственных за обеспечение безопасности информации, их квалификация, а также выявления "узких" слабых мест в системе защиты информации. Командное взаимодействие целесообразно проводить на наивысшем уровне зрелости управления процессами информационной безопасности. Тестирование на проникновение без участия ответственных за обеспечение безопасности информации. Виды тестирования на проникновение: внешнее тестирование на проникновение; внутреннее тестирование на проникновение; тестирование на проникновение с применением методов социального инжиниринга. Внешнее тестирование на проникновение является имитацией компьютерных атак в отношении внешних информационных ресурсов подведомственного учреждения (информационные ресурсы, доступные со стороны сети Интернет – официальные сайты, внешние IP адреса, почтовые серверы и т.п.). Внутреннее тестирование на проникновение является имитацией действий злоумышленника после его проникновения в атакуемую локальную вычислительную сеть. Такой вид тестирования подразумевает повышение привилегий на захваченном хосте, разведка окружающих хостов с дальнейшими попытки их взлома. Целью проведения внешнего и внутреннего тестирования на проникновение является проверка защищенности информационных ресурсов на устойчивость к компьютерным атакам. Такие виды тестирования на проникновение возможно проводить на любом уровне зрелости управления процессами информационной безопасности с соблюдением следующего условия – целесообразно предварительно предупреждать сотрудников и (или) структурные подразделения, ответственные в подведомственном учреждении за информационные технологии. Тестирование на проникновение с применением методов социального инжиниринга проводится для проверки уровня осведомленности сотрудников подведомственного учреждениях в вопросах информационной безопасности. Это может быть имитация спам–рассылки через электронную почту, подкидывание флеш–накопителей с заранее записанными на них "вредоносными" программами, вытягивание данных учетных записей (имена пользователей и их пароли) путем маскировки под техническую поддержку и иные манипулятивные способы, направленные на психологические слабости, свойственные людям. Тестирование на проникновение целесообразно проводить по мере необходимости и наличию финансовых средств. Рекомендуемое содержание отчета по результатам тестирования на проникновение приведено в приложении №4. Оценка уязвимостей. Оценка уязвимостей проводится с целью выявления уязвимостей в системном и прикладном программном обеспечении для их дальнейшего устранения. Оценка уязвимостей может проводиться как собственными силами (оценку проводит ответственный за обеспечение безопасности информации), так с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Мероприятия по оценке уязвимостей могут проводиться ручными и инструментальными методами. Ручная оценка уязвимостей проводится путем проверки состояния созданных сервисов и версий программного обеспечения с дальнейшим изучением наличия в них уязвимостей путем сбора данных с общедоступных источников (банк данных угроз ФСТЭК России https://bdu.fstec.ru, база данных уязвимостей https://www.cvedetails.com, официальные сайты программного обеспечения и т.п.). Инструментальная оценка уязвимостей осуществляется с помощью специализированного программного обеспечения (сканеры сети, сканеры безопасности и т.п.). Периодичность проведения оценки уязвимости: для информационных систем, в отношении которых действующим законодательством Российской Федерации установлены требования по защите информации – периодичность определяется в соответствующих правовых и нормативно–правовых актах; для иных информационных систем и (или) локальной вычислительной сети – не реже 1 раза в год. Порядок проведения внутреннего контроля состояния системы защиты информации В подведомственном учреждении разрабатывается документ, определяющий регламент проведения внутреннего контроля, предусматривающий особенности функционирования конкретного подведомственного учреждения. В документе определяются ответственные исполнители (сотрудники, организующие и осуществляющие внутренний контроль), сроки проведения внутреннего контроля, виды и типы внутреннего контроля, перечень проверяемых вопросов, формы отчетности, порядок доведения результатов проведенных работ по руководителя подведомственного учреждения, а также порядок устранения выявленных недостатков. Общие рекомендации по проведению внутреннего контроля. Мероприятия по внутреннему контролю состояния системы защиты информации включаются в ежегодный план организационно– технических мероприятий, утверждаемый руководителем подведомственного учреждения. Тип и виды внутреннего контроля, а также необходимость привлечения на договорной основе сторонних организаций, целесообразно выбирать исходя из квалификации ответственных за обеспечение безопасности информации, финансового обеспечения и текущих нужд подведомственного учреждения. Материалы проверки (справки, отчеты) содержат сведения о системе защиты информации, которым следует присваивать ограничительную пометку "для служебного пользования". В случае выявления недостатков составляется план по их устранению. Информацию о выявленных грубых нарушений требований по защите информации, ставшая известной в ходе контрольных мероприятий, рекомендуется доводить до руководителя подведомственных учреждений для принятия управленческих решений. ______________ Приложение №1 к методическим рекомендациям по проведению контроля состояния системы защиты ЖУРНАЛ учета проверок юридического лица, индивидуального предпринимателя, проводимых органами государственного контроля (надзора), органами муниципального контроля ______________________________________ (дата начала ведения журнала) __________________________________________________________________________________________ __________________________________________________________________________________________ __________________________________________________________________________________________ (наименование юридического лица/фамилия, имя, отчество (в случае, если имеется) индивидуального предпринимателя) __________________________________________________________________________________________ __________________________________________________________________________________________ __________________________________________________________________________________________ (адрес (место нахождения) постоянно действующего исполнительного органа юридического лица/место жительства (место осуществления деятельности (если не совпадает с местом жительства) индивидуального предпринимателя) __________________________________________________________________________________________ __________________________________________________________________________________________ (государственный регистрационный номер записи о государственной регистрации юридического лица/индивидуального предпринимателя, идентификационный номер налогоплательщика (для индивидуального предпринимателя); номер реестровой записи и дата включения сведений в реестр субъектов малого или среднего предпринимательства (для субъектов малого или среднего предпринимательства)) Ответственное лицо: _______________________________________________________________________ __________________________________________________________________________________________ (фамилия, имя, отчество (в случае, если имеется), должность лица (лиц), ответственного за ведение журнала учета проверок) __________________________________________________________________________________________ _________________________________________________________________________________________ (фамилия, имя, отчество (в случае, если имеется) руководителя юридического лица, индивидуального предпринимателя) Подпись: ____________________________________________________ М.П. Сведения о проводимых проверках
Приложение №2 к методическим рекомендациям по проведению контроля состояния системы защиты информации ТИПОВОЙ ПЕРЕЧЕНЬ вопросов, рассматриваемых в ходе контроля выполнения требований действующего законодательства в области защиты информации |