Карточка защитной меры

Куда я попал?

SECURITM это система для корпоративных служб информационной безопасности, которая автоматизирует ключевые процессы управления: контроль соответствия требованиям, управление рисками, учет активов, планирование работ, задачи, технические уязвимости, опросы и т.д.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.

Подробнее

Наш канал

Выделение периферийного оборудования и IP телефонов в отдельную сеть (сегментация сети)

3 11

Цель: защита ключевых активов от несанкционированного доступа на сетевом уровне со стороны периферийного оборудования и IP телефонов.

К периферийному оборудованию могут относятся принтеры, сканеры, IP телефоны и иные устройства подключаемые к локальной сети компании.
Обязательным условием сегментации является ограничение доступа в выделенный сегмент и из него.
Пример политики ограничения доступа к сегменту периферийного оборудования:

доступом к выделенному сегменту могут обладать только серверы управления (сервер IP телефонии, сервер печати).
Доступ из выделенного сегмента возможен также только к серверам управления. Доступ к локальным сетям с рабочими станциями и доступ в интернет заблокированы.

Часто мера в части ограничения доступа сложно реализуема. Например если подключение рабочих станций к принтерам осуществляется по сети напрямую а не через сервер печати. Или если IP телефон подключен в одну сетевую розетку с рабочей станцией. В таких случаях следует настроить более широкие права доступа к сегменту и из него.
Реализация: настройкой сетевого оборудования (VLAN).
После реализации защитной меры следует внедрить меру по регулярному поиску периферийных устройств в локальных сетях, с целью их переноса в выделенный сегмент.

Рекомендации к заполнению карточки:

Указать перечень сегментов и их назначение
Описать способы/технологии сегментации
Описать как настроено ограничение доступа (ACL)
Если сети учитываются в реестре активов - привязать их к карточке в качестве инструментов (тип актива Локальная сеть).

Область действия: Вся организация

Классификация

Тип

Техническая

Реализация

Вручную

Периодичность

Разово

Ответственный

Не определено

Инструменты

Не определено

Исполнение требований

Приказ ФСТЭК России № 21 от 18.02.2013 "Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных":

ЗИС.17 ЗИС.17 Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы

УПД.3 УПД.3 Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами

ГОСТ Р № ИСО/МЭК 27001-2021 от 01.01.2022 "Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования - Приложение А":

A.13.1.3

A.13.1.3 Разделение в сетях
Мера обеспечения информационной безопасности: Группы информационных сервисов, пользователей и информационных систем в сети должны быть разделены

A.9.1.2

А.9.1.2 Доступ к сетям и сетевым сервисам
Мера обеспечения информационной безопасности: Пользователям следует предоставлять доступ только к тем сетям и сетевым сервисам, на использование которых они получили конкретное разрешение

CIS Critical Security Controls v7.1 (SANS Top 20):

CSC 14.1 CSC 14.1 Segment the Network Based on Sensitivity
Segment the network based on the label or classification level of the information stored on the servers, locate all sensitive information on separated Virtual Local Area Networks (VLANs).

Приказ ФСТЭК России № 17 от 11.02.2013 "Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах":

SWIFT Customer Security Controls Framework v2022:

1 - 1.1 SWIFT Environment Protection

1.1 SWIFT Environment Protection

Приказ ФСТЭК России № 31 от 14.03.2014 "Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления":

ЗИС.4 ЗИС.4 Сегментирование информационной (автоматизированной) системы

NIST Cybersecurity Framework (EN):

PR.AC-5 PR.AC-5: Network integrity is protected (e.g., network segregation, network segmentation)

Приказ ФСТЭК России № 239 от 25.12.2017 "Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости":

ЗИС.4 ЗИС.4 Сегментирование информационной (автоматизированной) системы

Связанные риски

Риск	Угроза	Уязвимость	Тип актива	Связи
Несанкционированный доступ к IP телефону из локальной сети из-за наличия технических (программных) уязвимостей в IP телефоне НСД	Несанкционированный доступ к IP телефону из локальной сети НСД	Наличие технических (программных) уязвимостей	IP телефон	2
Несанкционированный доступ к IP телефону из локальной сети из-за возможности подбора пароля путем перебора (bruteforce) в IP телефоне НСД	Несанкционированный доступ к IP телефону из локальной сети НСД	Возможность подбора пароля путем перебора (bruteforce)	IP телефон	2
Несанкционированный доступ к IP телефону из локальной сети из-за использования протокола Telnet в IP телефоне НСД	Несанкционированный доступ к IP телефону из локальной сети НСД	Использование протокола Telnet	IP телефон	2