Система резервного копирования.
№ п/п
|
Вопрос проверки
|
Результат проверки
|
|
Наличие надежной независимой системы резервного копирования наиболее значимой информации
|
Рекомендуемый параметр – должна быть настроена и работоспособна система резервного копирования (в виде отдельной или независимой системы). Отдельной системой или независимой системой может являться автоматизированное рабочее место, либо автономная станция хранения данных (NAS – система).
|
|
Использование жестких дисков
|
Рекомендуемый параметр – для хранения резервных копий и критической информации должно быть обеспечено использование жестких дисков не ниже "корпоративного класса" надежности
|
Организационные меры по защите информации в ЛВС.
№ п/п
|
Вопрос проверки
|
Результат проверки
|
|
Регламентирование контролируемой зоны органа ПУ
|
Рекомендуемый параметр – в ПУ разработан и утвержден документ, в котором в схематичном виде изображена территория, на которой исключено несанкционированное нахождение посторонних лиц и транспортных средств. Документ актуален и соответствует фактическим условиям функционирования ПУ
|
|
Внедрение порядка и "культуры" работы на автоматизированном рабочем месте
|
Рекомендуемый параметр –
– создать официальную политику (документ), устанавливающую запрет на использование неавторизованного программного обеспечения;
– создать официальную политику защиты от рисков, связанных с получением файлов и программного обеспечения, либо из внешних сетей, либо через другие передающие среды, показывающую, какие защитные меры следует принять;
– проводить регулярный анализ программного обеспечения и содержания данных систем, поддерживающих критические процессы организации; необходима формальная процедура расследования причин наличия любых неавторизованных или измененных файлов;
|
|
Регламентирование порядка работы в случае подозрения на наличие вирусного программного обеспечения или ссылок на подозрительные веб– ресурсы ("фишинговые" ссылки) в почтовых сообщениях
|
Рекомендуемый параметр – порядок регламентирован, в нем указаны основные признаки "спам– писем", описан порядок действий пользователей в случае подозрения на наличие вирусного программного обеспечения в почтовом сообщении, все сотрудники ПУ с порядком ознакомлены
|
|
Ограничение использования в служебных целях информационных систем, технические средства которых расположены за пределами Российской Федерации
|
Рекомендуемые параметры
– все сотрудники ПУ ознакомлены с федеральным законом от 27.07.2006 № 149– ФЗ "Об информации, информационных технологиях и о защите информации"
|
|
Использование в служебных целях общедоступных почтовых сервисов (mail.ru, yandex.ru и т.п.), предоставляемых юридическими лицами, зарегистрированными на территории Российской Федерации
|
Рекомендуемый параметр – общедоступные почтовые сервисы не используются
|
|
Регламентирование порядка работы с веб– приложениями
|
Рекомендуемый параметр – сотрудники, ответственные за работу с веб– ресурсами, ознакомлены с правилами антивирусной защиты:
Сотрудники должны проводить обязательную предварительную антивирусную проверку файлов, загружаемых на веб– ресурсы внутренними антивирусными средствами;
Сотрудники не выполняют административный доступ к веб– приложениям с личных устройств
|
Системы защиты среды виртуализации.
№ п/п
|
Вопрос проверки
|
Результат проверки
|
|
Разделение доступа к средствам управления среды виртуализации
|
Рекомендуемый параметр – доступ к средствам управления имеют только те сотрудники, которым это необходимо для исполнения своих должностных обязанностей
|
Система физической безопасности.
№ п/п
|
Вопрос проверки
|
Результат проверки
|
|
Техническая и организационная реализация пропускного режима
|
Возможные рекомендуемые параметры
– наличие запущенной в эксплуатацию системы управления контролем доступа (действующая система не допускает бесконтрольного нахождения посторонних лиц в пределах контролируемой зоны);
– наличие функционирующего бюро пропусков с фиксацией всех посетителей (действующая система не допускает бесконтрольного нахождения посторонних лиц в пределах контролируемой зоны)
|
|
Организация видеонаблюдения
|
Рекомендуемый параметр – видеонаблюдение создано, система контролирует все точки входа в административное здание и внутренние коридоры (переходы)
|
|
Физическое размещение системы видеонаблюдения
|
Рекомендуемый параметр – система видеонаблюдения является автономной (без использования посторонних "облачных" сервисов)
|
|
Сетевое размещение системы видеонаблюдения
|
Рекомендуемый параметр – система видеонаблюдения размещена в отдельном сетевом пространстве без подключения к сетям общего пользования (в том числе к сети Интернет). Система видеонаблюдения имеет сервер хранения видеозаписей с установленным сроком их хранения. Хранение видеозаписей осуществляется не менее 7 дней. Межсетевое экранирование организовано таким образом, что доступ к системе видеонаблюдения возможен только для лиц, которым такой доступ необходим для исполнения своих должностных обязанностей
|
|
Организационное ограничение возможности физического подключения к ЛВС (в случае отсутствия технической реализации ограничения возможности подключения посторонних устройств к ЛВС)
|
Возможные рекомендуемые параметры:
– в ПУ разработан порядок работы пользователей, в котором регламентирован порядок доступа посторонних лиц в помещения, в которых размещены технические средства ЛВС
|
Приложение №4
к методическим рекомендациям по проведению контроля состояния системы защиты информации в организациях и учреждениях, подведомственных органам исполнительной власти края
РЕКОМЕНДАЦИИ
по содержанию отчета по результатам тестирования на проникновение контроля
Описание методики тестирования на проникновение, включающее в себя:
условия проведения работ;
модель нарушителя;
перечень используемых методологий;
перечень инструментальных автоматизированных средств;
оценку уровня критичности уязвимостей.
Границы проведения работ (пул тестируемых внешних IP адресов).
Описание исследования сетевого периметра, включающее в себя:
применяемые методы: пассивный сбор информации, анализ собранной информации, активный сбор информации, попытка проникновения;
перечень сайтов и утилит, используемых для исследования сетевого периметра.
Описание идентификации доступных сетевых служб, включающее в себя:
описание режимов сканирования;
перечень обнаруженных TCP/UDP служб на каждом обнаруженном узле;
перечень рекомендаций по настройке сетевых служб, доступных из сети Интернет.
Описание инструментального сканирования доступных ресурсов на периметре.
распределение узлов по максимальному уровню риска обнаруженных на них уязвимостей;
распределение уязвимостей по степени риска;
распределение уязвимостей по категориям;
рейтинг наиболее уязвимых узлов;
перечень общедоступных эксплойтов (IP– адрес узла – уязвимость по международным классификаторам – ссылка на эксплойт).
результаты тестирования на проникновение каждого узла в отдельности с указанием его IP– адреса (например, список веб– приложений на узле, графическое отображение (снимки экранов) результатов тестирования на проникновение, результаты атак "подбор пароля" с указанием скомпрометированной учетной записи (логин:пароль).
Анализ инцидентов, который должен содержать описание хода оказания услуг (анализ инцидентов) детализированное описание каждого инцидента с его графическим изображением (с учетом IP– адресов и DNS– имен атакованных узлов, времени проведения атак, отображением векторов атак, описание действий, совершаемых во время проведения атаки).
Оценка уровня защищенности, состоящую из:
Оценки общего уровня защищенности, которая должна включать:
описание привилегий нарушителей, достаточных для:
получения полного контроля над ИС Заказчика;
преодоления сетевого периметра и получения доступа во внутреннюю сеть Заказчика.
описание полученных привилегий от лица внешнего нарушителя;
максимального уровня критичности обнаруженных уязвимостей;
максимального уровня критичности обнаруженных уязвимостей, связанных с недостатками конфигурации;
максимального уровня критичности обнаруженных уязвимостей, устраняемых обновлениями;
максимального уровня критичности обнаруженных уязвимостей, связанных с ошибками в коде веб– приложений;
уровня защищенности ИС Заказчика от атак со стороны внешнего нарушителя.
Оценки уровня защищенности по векторам проникновения, которая должна содержать:
описание векторов проникновения;
оценку уровня защищенности по каждому вектору проникновения в отдельности с проставлением оценочных баллов;
графическое изображение (диаграмма) оценки уровня защищенности по векторам проникновения с отображением текущего уровня защищенности, среднего уровня защищенности и приемлемого уровня защищенности с проставлением оценочных баллов.
Оценку эффективности механизмов защиты, которая должна содержать:
оценку эффективности механизмов защиты с проставлением оценочных баллов по видам механизмов защиты:
сетевая безопасность, в том числе веб– приложений;
аутентификация и разграничение доступа;
криптографическая защита;
управление конфигурациями;
управление уязвимостями и обновлениями;
управление учетными записями и паролями;
антивирусная защита;
защита среды виртуализации;
выявление и предотвращение атак.
графическое изображение (диаграмма) оценки эффективности механизмов защиты с отображением текущего уровня защищенности, среднего уровня защищенности и приемлемого уровня защищенности с проставлением оценочных баллов.
Результаты тестирования на проникновение с рекомендациями по устранению выявленных уязвимостей и недостатков.
Приложения:
реестр выявленных уязвимостей, включающий в отношении каждой угрозы:
уровень риска;
наименование уязвимости или недостатка механизма безопасности;
наименование угрозы;
сложность реализации угрозы;
описание угрозы;
рекомендации по устранению выявленных уязвимостей и недостатков механизмов защиты;
IP– адрес и DNS имя (при наличии) уязвимого ресурса.
доступные из сети Интернет сетевые службы.
1 Протокол WPA2 в 2018 году признан скомпрометированным
|
Скачать 149.79 Kb.