Карточка защитной меры

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Утверждение Регламента ограничения программной среды в объектах КИИ

1 1 13

Цель: определение и установление общих требований по ограничению программной среды на объектах критической информационной инфраструктуры.

Регламент описывает требования:

по определению компонентов программного обеспечения (ПО), которые могут запускаться в автоматическом режиме;
к установке и настройке программного обеспечения:
- кто может осуществлять установку и настройку ПО;
- правила при установке и настройке ПО.

Рекомендации к заполнению карточки:

Приложите скан-копию Регламента в Реестр документов по защите информации (в модуле активов SECURITM). Укажите созданный актив в качестве инструмента к данной защитной мере.

Область действия: Вся организация

Классификация

Тип

Организационная

Реализация

Вручную

Периодичность

Разово

Ответственный

Не определено

Инструменты

Не определено

Для просмотра файла необходимо авторизоваться!

Регламент ограничения программной среды в объектах КИИ.docx

Цепочка мер

Утверждение Порядка планирования мероприятий по ИБ и контроля за их выполнением

Разработка Плана мероприятий по обеспечению безопасности значимых объектов КИИ

Утверждение Регламента ограничения программной среды в объектах КИИ

Предшествующие меры

№	Этап -1	Этап -2
1				Утверждение Порядка планирования мероприятий по ИБ и контроля за их выполнением	Разработка Плана мероприятий по обеспечению безопасности значимых объектов КИИ

Ресурсная оценка

	Качественная оценка			Количественная оценка		Итоговая оценка
	Стоимость	Трудозатраты	Сложность	Стоимость, тыс. руб	Трудозатраты, дней/ год	Итоговая оценка
CAPEX ^?	Отсутствует	Низкие	Низкая	0	1	4 - Низкая
OPEX ^?	Отсутствует	Низкие	Низкая	0	1	4 - Низкая

Связанные риски

Риск	Связи
Нарушение требований законодательства в области КИИ из-за отсутствия требуемых законодательством форм и документов в объекте критической информационной инфраструктуры Право	21

Заметки

SECURITM

4 месяца назад

Community

Регламент ограничения программной среды в объектах критической информационной инфраструктуры [наименование организации]

1. Общие сведения

1.1. Настоящий Регламент разработан с учетом положений следующих документов:

1.1.1. Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

1.1.2. Приказ ФСТЭК России от 21 декабря 2017 г. № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования».

1.1.3. Приказ ФСТЭК России от 25 декабря 2017 г. № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации».

1.1.4. Приказ ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».

1.1.5. Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

1.1.6. ГОСТ Р 50922–2006 «Защита информации. Основные термины и определения».

1.2. Целью разработки данного Регламента является установление [наименование организации] общих правил, требований и процедур ограничения программной среды в:

– значимых объектах критической информационной инфраструктуры с установленной категорией значимости 1 или 2 (далее – ЗОКИИ);

– объектах критической информационной инфраструктуры, не отнесенных к значимым объектам и в отношении которых [наименование должности руководителя организации] [наименование организации] принято решение о применении требований по обеспечению безопасности, предусмотренных для значимых объектов критической информационной инфраструктуры с категорией значимости 1 или 2 (далее – ОКИИ).

1.3. Настоящий Регламент предназначен для сил обеспечения безопасности ЗОКИИ и ОКИИ.

2. Термины и определения

2.1. Термины и определения, применяемые для целей настоящего регламента:

2.1.1. Значимый объект критической информационной инфраструктуры – объект критической информационной инфраструктуры, которому присвоена одна из категорий значимости и который включен в реестр значимых объектов критической информационной инфраструктуры.

2.1.2. Критическая информационная инфраструктура (КИИ) – объекты критической информационной инфраструктуры, а также сети электросвязи, используемые для организации взаимодействия таких объектов.

2.1.3. Компонент программного обеспечения – составная часть (программный модуль) программного обеспечения, выполняющая определенную функцию.

2.1.4. Объекты критической информационной инфраструктуры – информационные системы, информационно-телекоммуникационные сети, автоматизированные системы управления.

3. Цель и задачи ограничения программной среды

3.1. Целью ограничения программной среды является обеспечение требуемого уровня информационной безопасности ЗОКИИ (ОКИИ).

3.2. Ограничение программной среды в ЗОКИИ (ОКИИ) достигается решением следующих задач:

– управление запуском (обращениями) компонентов программного обеспечения;

– управление установкой (инсталляцией) компонентов программного обеспечения.

4. Управление запуском (обращениями) компонентов программного обеспечения

4.1. В ЗОКИИ с установленной 1 или 2 категорией значимости и ОКИИ, в отношении которых заданы требования по соответствию составу мер по обеспечению безопасности, предусмотренному для значимых объектов критической информационной инфраструктуры с категорий значимости 1 или 2, при загрузке операционной системы средства вычислительной техники должен быть разрешен автоматический запуск следующих компонентов программного обеспечения:

| № п/п | Техническое средство объекта КИИ | Компонент программного обеспечения
| 1. | [наименование объекта КИИ]
| 1.1. | [наименование технического средства (сервер, АРМ и т.д.] | [наименование разрешенного к запуску компонента ПО]
| …. | …. | …

4.2. Администратор безопасности ЗОКИИ (ОКИИ) должен осуществлять периодический контроль за составом компонентов программного обеспечения, разрешенным к автоматическому запуску при загрузке операционной системы средства вычислительной техники, в соответствии с пунктом 5.1 настоящего Регламента. Указанный контроль должен проводиться не реже одного раза в три месяца.

5. Управление установкой (инсталляцией) компонентов программного обеспечения

5.1. В ЗОКИИ (ОКИИ) должна быть ограничена возможность установки программного обеспечения и его компонентов после загрузки операционной системы средства вычислительной техники.

5.2. Установка и настройка программного обеспечения и его компонентов должна быть доступна только лицам, ответственным за управление (администрирование) подсистемой безопасности ЗОКИИ (ОКИИ), и лицам, ответственным за эксплуатацию ЗОКИИ (ОКИИ).

5.3. Допускается установка только программного обеспечения и его компонентов, включенных в утвержденный перечень программного обеспечения, разрешенного к использованию в ЗОКИИ (ОКИИ).

5.4. При установке программного обеспечения и его компонентов необходимо руководствоваться следующими правилами:

5.4.1. Исключение установки (если осуществимо) компонентов программного обеспечения, использование которых не требуется для реализации возложенных на ЗОКИИ (ОКИИ) задач;

5.4.2. Отключение (если осуществимо) компонентов программного обеспечения, использование которых не требуется для реализации возложенных на ЗОКИИ (ОКИИ) задач;

5.4.3. Применение параметров настройки компонентов программного обеспечения, включая программные компоненты средств защиты информации, обеспечивающих реализацию мер защиты информации, а также устранение возможных уязвимостей ЗОКИИ (ОКИИ), приводящих к возникновению угроз безопасности информации.

6. Ответственность

6.1. Сотрудники [наименование организации], входящие в состав сил обеспечения безопасности ЗОКИИ и ОКИИ, несут персональную ответственность за ненадлежащее исполнение или неисполнение требований, предусмотренных настоящим Регламентом.

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.