Соответствие требованиям
Одной из ключевых задач служб информационной безопасности является управление соответствием (compliance), которое подразумевает:
- Определение внешних и внутренних требований, которым должна соответствовать компания;
- Контроль текущего соответствия требованиям и выявление отклонений;
- Приведение организации, ее информационных систем и системы защиты в соответствие требованиям;
- Подтверждение соответствия по запросу внешних и внутренних аудиторов.
Требования разделяются на обязательные и требования, исполнение которых организация берет на себя добровольно.
- К обязательным требованиям можно отнести правовые, законодательные, нормативные и договорные требования, которым должна удовлетворять организация.
- К требованиям, исполнение которых организация берет на себя добровольно, относятся лучшие практики, стандарты, отраслевые рекомендации.
Требования разделяются на внешние и внутренние:
- Внешние требования: законодательные акты, стандарты и лучшие практики.
- Внутренние требования: потребности руководства компании, контрагентов, вышестоящих организаций и иных заинтересованных сторон.
Для удобства навигации и проведения сводных оценок соответствия документы разделены по группам:
- ПДн – требования к обработке и защите персональных данных;
- КИИ – требования к критической информационной инфраструктуре;
- АСУ ТП – требования к автоматизированным системам управления технологическими процессами;
- ГИС – требования к государственным информационным системам;
- СМИБ – требования к системам менеджмента информационной безопасности;
- Банки – требования к банковской отрасли и финансовым организациям;
- Здравоохранение – требования к отрасли здравоохранения;
- Лучшие практики – рекомендации и необязательные стандарты.
Один документ может входить в несколько групп.
Возможности
Сервис позволяет организовать процесс управления соответствием за счет следующих функций:
- Ведение учета внешних требований, актуальных для компании: законодательство, регуляторные акты, стандарты и лучшие практики по информационной безопасности;
- Создание собственных наборов (документов) с внутренними требованиями;
- Проведение оценки соответствия компании внешним и внутренним требованиям, как для всей организации, так и для конкретной области (модуль Области) и для конкретного актива;
- Организация процесса приведения компании в соответствие требованиям через внедрение защитных мер, поддержания необходимого уровня показателей метрик и отсутствие в сервисе уязвимостей;
- Автоматическое изменение уровня соответствия требованиям в процессе жизненного цикла системы защиты компании;
- Связь (маппинг) аналогичных требований из различных документов, что позволяет значительно сократить время при контроле соответствия сразу по нескольким документам.
Оценка соответствия
Существует три подхода к оценке соответствия:
- Общая оценка соответствия по всей организации, в данном случае документ с требованиями берется на контроль в рамках команды и производится оценка; Уровень соответствия единый и показывает насколько успешно выполняются требования; Результирующий отчет по документу отображает состояние комплайнса для всей организации.
- Частная оценка - оценка на уровне конкретной области (используется модуль Области). Для получения частной оценки и отчета для конкретной системы/защищаемого периметра/дочерней организации. В этом случае документ берется на контроль, создается область, к области добавляются необходимые документы, в интерфейсе модуля Требования заполняется блок Соответствие по областям. Механизм взаимосвязей описан по ссылке.
- Оценка по конкретным активам - оценка выполняется для конкретных активов с использованием модуля Активы и модуля Опросы, подходит для чек-листов или ручной оценки и сбора свидетельств через опросы. Для перехода в данную оценку для документа выставляется параметр Оценка по конкретным активам, данный параметр нельзя выставить для документов из Community, но можно скопировать документ и выполнять оценку по копии.
Для документов загруженных из Community или созданных вручную в сервисе пользовательских документов с установленным параметром Методика оценки по документу не равным Бальная оценка и не установленным параметром Оценка по конкретным активам оценка соответствия осуществляется на уровне каждого требования документа вручную или автоматически. У требования могут быть следующие статусы соответствия:
- Ручной способ оценки - Неприменимо
- Ручной способ оценки - Не выполнено
- Ручной способ оценки - Выполнено
- Автоматически
- Технические уязвимости
- Метрики
При ручном способе оценке соответствия пользователь может в отношении конкретного требования указать его статус соответствия: неприменимо, не выполнено, выполнено, частично выполнено. После чего указать обоснование статуса и файлы свидетельсвт.
При автоматической оценке (статус соответствия Автоматически) расчет соответствия проводится по защитным мерам, связанным с требованием. Каждое требование может быть связано с одной или несколькими защитными мерами. Если все связанные с требованием защитные меры находятся в статусе Реализовано, то требование считается выполненным, а если хотя бы одна из защитных мер не реализована (в статусе Потребность, Проект, Внедрение) или вышла из строя (статусе Поломка) то требование будет считаться не выполненным. Является ли набор защитных мер достаточным для исполнения требования определяется экспертным путем с учетом специфики и уровня зрелости компании.
При оценке с помощью метрик расчет соответствия проводится по связанным метрикам. Например, если метрика находится на значении «плохо», требование получает статус «Не выполнено»; при «умеренно» статус меняется на «Частично»; если значение метрики «хорошо», то требование считается «Выполнено». К требованию могут быть привязаны несколько метрик, для перехода в состояние «Выполнено» требуется чтобы все метрики были в состоянии «хорошо», в случае если одна из метрик в состоянии «хорошо», а другие в «умеренно» или «плохо» статус меняется на «Частично». В случае когда часть метрик в состоянии «умеренно» и часть в состоянии «плохо» статус меняется на «Не выполнено».
При оценке с помощью технических уязвимостей следует указать название конкретной уязвимости или его часть, которая может входить в название интересующей уязвимости. В случае обнаружения уязвимости соответствующее требование получает статус «Не выполнено», а при отсутствии уязвимостей статус требования меняется на «Выполнено».
В отношении документов, для которых предусмотрены различные классы/уровни требований возможно провести быструю корректировку, убрав лишние требования в соответствии с актуальным для компании уровнем/классом защищенности. Все не обязательные для выбранного класса/уровня требования переводятся в статус Неприменимо.
При оценке с помощью метрик расчет соответствия проводится по связанным метрикам. Например, если метрика находится на значении «плохо», требование получает статус «Не выполнено»; при «умеренно» статус меняется на «Частично»; если значение метрики «хорошо», то требование считается «Выполнено». К требованию могут быть привязаны несколько метрик, для перехода в состояние «Выполнено» требуется чтобы все метрики были в состоянии «хорошо», в случае если одна из метрик в состоянии «хорошо», а другие в «умеренно» или «плохо» статус меняется на «Частично». В случае когда часть метрик в состоянии «умеренно» и часть в состоянии «плохо» статус меняется на «Не выполнено».
При оценке с помощью технических уязвимостей следует указать название конкретной уязвимости или его часть, которая может входить в название интересующей уязвимости. В случае обнаружения уязвимости соответствующее требование получает статус «Не выполнено», а при отсутствии уязвимостей статус требования меняется на «Выполнено».
В отношении документов, для которых предусмотрены различные классы/уровни требований возможно провести быструю корректировку, убрав лишние требования в соответствии с актуальным для компании уровнем/классом защищенности. Все не обязательные для выбранного класса/уровня требования переводятся в статус Неприменимо.
Результаты расчета соответствия отображаются на нескольких уровнях:
- На уровне конкретного требования (пункта, статьи документа)
- На уровне раздела (подраздела) документа
- На уровне всего документа
- На уровне группы документов
По каждому из требований, разделов, документов можно посмотреть дополнительную статистику в разрезе требований и защитных мер.
Результаты оценки в документе
Процент в показателе Уровень соответствия определяется по статусам, присвоенным на основании анализа соответствия требованиям. Процентное значение формируется с учётом количества требований, отмеченных как "Выполнено", "Не выполнено", "Частично выполнено" и "Неприменимо".
Параметр Актуальные требования — это количество пунктов, для которых установлено свойство "Является требованием".
Параметр Защитные меры — общее число мер защиты, реализованных для обеспечения выполнения требований в документе.
Блок Дата редакции — указывает, когда документ был выпущен и до какого времени он остается действительным. На основании атрибутов документа Дата редакции, Действует с, Действует до.
Блок Актуальные требования — включает расчет по количеству требований, присутствующих в документе: сколько из них полностью или частично выполнены, а также сколько не выполнено.
Подробная статистика включает четыре направления:
- Требования с вручную установленным статусом ("Неприменимо", "Частично", "Выполнено", "Не выполнено");
- Требования с автоматической оценкой исполнения через защитные меры ("Выполнено", "Не выполнено", "Реализованные меры", "В процессе внедрения", "Запланированные меры");
- Требования, оценка для которых производится на основе метрик ("Выполнено", "Частично", "Не выполнено");
- Требования, выполнение которых определяется через выявленные технические уязвимости ("Выполнено", "Не выполнено").
Блок Группы областей
Отображает уровень соответствия по группам и в каждой области.
Блок Графики
Предназначен для отслеживания изменений уровня соответствия по месяцам и сравнения результатов по разделам документа. Состав блока зависит от методики оценки, структуры документа и опции "Оценка по конкретным активам".
Отображает уровень соответствия по группам и в каждой области.
Блок Графики
Предназначен для отслеживания изменений уровня соответствия по месяцам и сравнения результатов по разделам документа. Состав блока зависит от методики оценки, структуры документа и опции "Оценка по конкретным активам".
- График по месяцам - показывает, как менялся процент выполнения требований документа в течение выбранного года. Позволяет отслеживать динамику соответствия, проценты будут рассчитываться исходя из степени соответствия пунктам, отмеченным как «Выполнено».
- Диаграмма "паутинка" (при стандартной оценке и стандартной оценке с коэффициентами) - показывает результаты по разделам документа. Данные подразделов засчитываются в результат своего родительского раздела.
Диаграмма включает три уровня:- Текущий - учитывает все требования которые выполнены на данный момент.
- Запланированный - учитывает защитные меры в статусе: проект,внедрение и потребность.
- Целевой - все применимые требования раздела (т.е. не указаны как неприменимые). Требования со статусом "Неприменимо" в целевой уровень не входят.
- При стандартной оценке с коэффициентами результат оценки зависит от настроенных баллов и формул расчёта разделов.
- При балльной оценке - строится автоматически и показывает, какую долю от максимально возможного балла набрал каждый раздел.
На ней две области:
- Максимум, серый контур: 100% возможных баллов раздела.
- Текущий уровень, синяя область: фактически набранный процент баллов.
- Требования без выставленной оценки дают ноль баллов, но их максимальный балл учитывается в расчёте.
- Статус Неприменимо засчитывается как максимальный балл и не снижает результат раздела.
- При включённой опции "Оценка по конкретным активам" используются усреднённые по активам результаты разделов, как в индикаторах выполнения в списке требований.
- Кнопкой Переключить диаграмму можно сменить вид отображения.
Ограничения:
- Для плоского документа — без разделов, где все требования лежат на верхнем уровне — диаграмма не строится, блок Графики не отображается.
- При открытии отдельного раздела документа блок Графики не показывается — диаграмма доступна только на общей странице документа.
Блок Соответствие и Заполнение
Соответствие — предоставляет возможность отслеживать процент заполнения разделов документа, статусы: "Соответствует", "Частично", "Не соответствует" или "Не применимо", указывая это в процентах и в абсолютных значениях.
Заполнение - предоставляет возможность отслеживать процент способов оценки выполнения требований со статусами: "Автоматически, меры выбраны", "Переопределено", "Автоматически, меры не выбраны", "Метрики", "Уязвимости", указывая это в процентах.
В разделе "Список требований" существуют такие фильтры как:
Отображение:
- Показывать только требования — при активации этой опции в списке будут отображаться только те элементы, у которых установлен флаг «Является требованием»;
- Упрощённый режим — при включении этой функции названия требований преобразуются в ссылки;
Требования:
- Дополнительно к разделу применяется фильтр по уровням требований.
- Фильтр по статусам требований - Выполнено / Не выполнено / Частично / Не применимо
Фильтр по статусам:
- Выполнено
- Не выполнено
Аналогичные требования
Похожие требования различных документов уже связаны между собой. Когда создается связь между защитной мерой и требованием связь устанавливается также между этой защитной мерой и всеми похожими требованиями из других документов. Это позволяет экономить время при контроле соответствия сразу по нескольким документам.
Методика оценки
Стандартная оценка
Цель стандартной оценки с помощью автоматизации облегчить оценку соответствия уделяя внимание контролю статусов защитных мер, метрик и технических уязвимостей.
Цель стандартной оценки с помощью автоматизации облегчить оценку соответствия уделяя внимание контролю статусов защитных мер, метрик и технических уязвимостей.
Стандартная оценка соответствия требованиям. Существует два способа оценки:
- Вручную. В данном случае указывается конкретный статус (Неприменимо/Не выполнено/Частично/Выполнено);
- Автоматически. В этом случае указывается связь с Защитными мерами, метриками, техническими уязвимостями.
Требование при определенном Статусе имеет цветовые обозначения:
- Выполнено полностью - зеленый;
- Выполнено частично - желтый;
- Не выполнено - красный;
- Неприменимо - черный.
Балльная оценка
Цель бальной оценки провести оценку конкретного актива, требует для работы установки параметра Оценка по конкретным активам и работает исключительно с конкретными активами через модуль опросов или в карточке актива.
Балльная оценка в отличие от стандартной не имеет статусов, но позволяет оценивать требование через варианты ответов. Каждому варианту указывается конкретное количество баллов.
Варианты ответов балльной оценки:
Балльная оценка в отличие от стандартной не имеет статусов, но позволяет оценивать требование через варианты ответов. Каждому варианту указывается конкретное количество баллов.
Варианты ответов балльной оценки:
- Да/Нет;
- Да/Нет+Файлы;
- Да/Нет/Несовместимо+Файлы;
- Доля(процент);
- Да/Нет/Скорее всего да/Скорее всего нет;
- Конструктор вариантов;
В конструкторе документа настраиваются пороговые значения для визуального отображения статуса требования:
- Хорошо - зеленый;
- Умерено - желтый;
- Плохо - красный.
Есть возможность включить дополнительные параметры контроля выполнения требований:
- Включить расширенную классификацию;
- Оценка по конкретным активам;
- Определять применимость требований через активы;
- Задавать начало или окончание действий требований.
Стандартная оценка с коэффициентами
Метод стандартная оценка с коэффициентами позволяет совместить методы стандартной оценки (ручная оценка, оценка с помощь защитных мер, технических уязвимостей и метрик) и оценку в баллах каждого статуса. Методика позволяет создавать для каждого пункта не обладающего установленным параметром Является требованием (раздела документа) свой алгоритм подсчета с использованием разных формул и конструкций, результат может быть построен на основании баллов подпунктов являющихся требованиями. Метод позволятет использовать параметр Оценка по конкретным активам для работы с конкретными активами через модуль опросов или в карточке актива.
Если пункт является требованием, в интерфейсе редактирования документа появляется блок с полями Диапазон и значение баллов. В зависимости от полученного статуса требования указывается количество получаемых баллов для статуса требования:
- Выполнено;
- Не выполнено;
- Частично;
- Неприменимо.
Если пункт не является требованием в интерфейсе под описанием пункта появляется блок Настройки содержащий Формула расчета по разделу и блок Пороговые значения (хорошо, умеренно, плохо).
В конструкторе документа настраиваются пороговые значения для визуального отображения статуса требования:
- Хорошо - зеленый;
- Умерено - желтый;
- Плохо - красный.
Формула расчета по разделу
Функционал Формула расчета по разделу предназначен для указания алгоритма расчета результата оценки.
Поддерживаемые типы данных:
- number — целочисленные значения и значения с десятичными дробями (42, 3.14, 0);
- string — значение строк и пустых значений ("hello", "Выполнено", "")
- boolean — булевые значения (true, false);
- array — массивы ([1, 2], ["a" => 1]).
При расчёте по формуле, доступны переменные:
- $sum () — сумма набранных баллов по всем требованиям подраздела;
- $scores (array) — баллы подразделов, ключ - позиция требования. Пример: ["1.1" => 2, "1.2" => 5, ...];
- $statuses (array) — статусы требований, ключ - позиция требования. Пример: ["1.1" => "Выполнено", "1.2" => "Автоматически", ...];
Если статус требования — «Меры не выбраны», в массиве $statuses он будет представлен как "Автоматически".
Доступные операции:
- Арифметические:
- сложение + ;
- вычитание - ;
- умножение * ;
- деление / ;
- Сравнения:
- равно == ;
- не равно !=;
- больше/меньше >/<;
- больше или равно/меньше или равно >=/<=;
- Логические:
- логическое умножение And;
- логическое сложение Or;
- логическое отрицание Not;
- Присваивание =.
Управляющие конструкции
Сервис позволяет использовать конструкции if / else как условный оператор, который позволяет выполнять один блок формулы, если условие истинно, и другой — если условие ложно.
Сервис позволяет использовать конструкции if / else как условный оператор, который позволяет выполнять один блок формулы, если условие истинно, и другой — если условие ложно.
Пример:
if ($x > 10) { $y = 1;} else { $y = 0;}Если значение $x будет больше "10", то переменной $y присвоят значение "1". В противном случае $y присвоят значение "0".
Фигурные скобки обязательны с обеих сторон
Конструкция else if не поддерживается — реализуется как отдельный вложенный if в else блоке.
Конструкция else if не поддерживается — реализуется как отдельный вложенный if в else блоке.
Встроенные функции
Функция Count(array) возвращает значение равное количеству элементов в массиве array.
Пример:
Функция Count(array) возвращает значение равное количеству элементов в массиве array.
Пример:
Count([1, 2, 3]) # Результат равен 3
Count($items)
Count([]) # Результат равен 0Функция Countif(array, op, value, [array2, op2, value2, ...]) возвращает количество элементов массива array, удовлетворяющих условие сравнения op значению value.
В функцию можно указывать несколько таких выражений через запятую. В таком случае для подсчета необходимо, чтобы все указанные условия были выполнены:
- Все массивы должны иметь одинаковую длину;
- Количество аргументов в функции должно быть кратно 3;
Пример:
CountIf([1, 2, 3, 4], ">=", 3) # Результат равен 2
CountIf($statuses, "==", "Выполнено") # Возвратит количество выполненных требований
CountIf($a, ">=", 3, $b, "<", 10) # Логика AND по двум условиям: (a[i] >= 3) AND (b[i] < 10)Функция return позволяет вернуть рассчитанное значение блока Формула расчета по разделу. Аргументом функции return должен быть результат работы вычислений по формуле. Без return скрипт возвращает null.
Пример:
return 1;
return $b;Синтаксис
Разделителем функции является символ точка с запятой - ";". После обозначения блока кода (фигурные скобки) разделитель функции не указывается.
Пример условного вычисления:
if (Countif(scores, "<=", 0.5) <= 1 ) { return 0.8; } else { if (Countif(scores, "<=", 0.5) >= Count($scores)/2) {
return 0.5;
} else {
return 1;
}
}Оценка по конкретным активам можно проводить методом Стандартная оценка с коэффициентами
Для этого в настройках документа одновременно включаются параметр Оценка по конкретным активам и метод оценки с коэффициентами, а для каждого статуса требования (Выполнено, Частично, Не выполнено, Неприменимо) задаются баллы. Оценка ведется отдельно по каждому выбранному активу: статусы выставляются в разрезе актива, а набранный и максимальный коэффициент рассчитываются на уровне требования, раздела и документа.
В шапке документа отображается усредненный уровень соответствия по всем оцениваемым активам с цветовой индикацией прогресс-бара (зеленый, оранжевый, красный). Средние показатели считаются только по активам с заполненными статусами; если статусы ни по одному активу не заполнены, результат оценки нулевой.
В модуле Опросы участник видит шапку с прогресс-баром и коэффициентами по каждому своему активу; показатели пересчитываются без перезагрузки страницы после каждой выставленной оценки.
Ограничение: для документов с оценкой по конкретным активам недоступен снимок (snapshot).
Алгоритм работы
Алгоритм работы с модулем соответствия требованиям следующий:
- Выбрать документы, соответствие которым планируется контролировать.
Для этого перейти в раздел Требования и нажать на кнопку Выбрать документы или сразу перейти сюда.
Выбрать подходящие документы нажав на кнопку Контроль.- В списках выбора документов используется цветовое выделение по периоду действия редакции.
- Красным выделяются документы, у которых заполнена Дата редакции, а текущая дата находится вне периода Действует с - Действует до. Выделение применяется и к редакциям, период действия которых ещё не начался.
- Для проверки периода необходимо открыть карточку документа. Документы без заполненной даты редакции по этому признаку не выделяются.
- Подсветка носит информационный характер: не изменяет статус документа, не снимает его с контроля и не влияет на оценку соответствия. Уведомления об истечении периода действия не отправляются.
- Выделение не применяется:
- в списке документов внутри опроса;
- на вкладке Родительская команда;
- на вкладке Дочерние команды.
- В списках выбора документов используется цветовое выделение по периоду действия редакции.
- Документы, созданные менее часа назад, могут выделяться зелёным как новые.
- Провести аудит и по каждому из требований
- Связать требование с действующими в компании защитными мерами.
Примечание: если защитная мера взята из базы Community то ее связь с требованиями будет установлена автоматически. - В случае необходимости установить статус соответствия вручную (выполнено/не выполнено/неприменимо).
- Связать требование с действующими в компании защитными мерами.
- Запланировать внедрение связанных с требованиями защитных мер.
Подробнее об управлении защитными мерами описано в разделе Защитные меры.
Интерфейс главной страницы модуля
Главная страница модуля «Требования» служит стартовой точкой для выбора и создания документов, просмотра суммарной статистики соответствия и оценки выполнения требований по областям (сегментам организации).
Элементы интерфейса
Кнопки верхней панели
Выбрать документы
Выбрать документы
- Служит для перехода в библиотеку (каталог) документов требований от Регуляторов, лучших практик и шаблонов нашего комьюнити. Поддерживается отделом методологии и регулярно актуализируется. Доступно 180+ документов. Функционал позволяет принять документы в свою команду и начать выполнять по ним оценку соответствия.
Создать
- Открывает мастер создания внутреннего документа.
Статистика
- Инструмент позволяет выявлять группы и пересечения взаимосвязанных требований. Список "Топ 10" отображает которые чаще всего совпадают в разных документах.
Справка
- Актуальная документация по модулю «Требования».
Настройки
Содержит параметры влияющие на визуальное отображение:
Содержит параметры влияющие на визуальное отображение:
- Показывать неприменимые требования - добавляет отдельную полоску для «неприменимых» требований на круговой диаграмме распределения статусов.
- Показывать частично выполненные требования - добавляет отдельную полоску «частично выполнено» на горизонтальном прогресс-баре статусов.
- Показывать прогресс-бары с общей оценкой - включает прогресс-бар общей оценки в блоках по направлениям (агрегированный процент выполнения).
- Скрыть блок с группами документов по направлениям - скрывает весь блок, где документы сгруппированы по направлениям.
- Отображение прогресс-баров - место размещения:
- Справа - размещает индикаторы прогресса справа от названия.
- Слева - размещает индикаторы прогресса слева от названия.
- Отображение результатов - вариант отображения выполненных требований:
- Проценты и числа - показывает одновременно долю в процентах и абсолютные значения (например, 68% — 34 из 50).
- В процентах - показывает только процент выполнения.
- В числах - показывает только абсолютные значения (например, 34 из 50).
- Пересчитать оценку требований – запускает задачу перерасчёта оценок требований на главной странице. Синхронизация происходит автоматически раз в 2 часа.
Калькуляторы методических рекомендаций (появляются после принятия документов в команду).
Для работы калькулятора Оценка по 3/8/12-МР необходимо взять на контроль документы:
Для работы калькулятора Оценка по 3/8/12-МР необходимо взять на контроль документы:
- 12-МР для 719-П;
- 12-МР для 802-П;
- 12-МР для 683-П;
- 12-МР для 821-П;
- 8-МР для 757-П;
- 3-МР для 851-П;
- 3-МР для 821-П;
- 3-МР для 802-П.
Для работы калькулятора Оценка реализации ГОСТ 57580 необходимо взять на контроль документы:
- ГОСТ 57580 Раздел 7;
- ГОСТ 57580 Раздел 8;
- ГОСТ 57580 Раздел 9.
Блок Документы
Каждый документ отображается с принадлежностью к категории (группе), каждая из которых размещена в соответствующем элементе интерфейса (блоке) с указанием результатов оценки соответствия (диаграмма и гистограммы). Примеры:
- Финансы: пример документа PCI DSS 4.0.1
- ПДн: пример документа Приказ ФСТЭК №21
- ГИС: пример документа Приказ ФСТЭК №17. Приложение
- КИИ: пример документа Приказ ФСТЭК №239. Приложение
- Общее: пример документа Федеральный закон №149-ФЗ
- Безопасная разработка: пример документа PCI SLC v1.1
- Лучшие практики: пример документа NIST CSF
- СКЗИ: пример документа Приказ ФАПСИ №152
- АСУ ТП: пример документа RUCSF — The 18 CIS CSC
- СМИБ: ISO/IEC 27001:2022
- Здравоохранение: пример документа FDA 21 CFR Part 11
- Тестирование: пример документа Тест на уровень знаний в ИБ (простой)
- Коммерческая тайна: пример документа Федеральный закон №98-ФЗ.
Блок Соответствие по областям
Каждая область отображается в соответствующем элементе интерфейса (блоке) с указанием результатов оценки соответствия (диаграмма и гистограммы).
Фильтры:
Фильтры:
- Выбрать документы - отображает результаты расчёта соответствия только по выбранным документам;
- Фильтр по группам - отображает результаты расчёта соответствия по выбранным группам документов (категориям).
Структура
Группы областей визуально объединяют области согласно настройкам в модуле Области с указанием названия соответствующей области.
Области без групп - области, которым не назначена группа. Отображаются в порядке добавления (например, Система 1, Система 2, Система 3).
Переходы
При нажатии на название области будет открыта карточка области. Из области можно перейти к детальной оценке по документам, карточке области и отчетам по области.
При нажатии на название документа будет открыт документ с установленным фильтром по области.
Группы областей визуально объединяют области согласно настройкам в модуле Области с указанием названия соответствующей области.
Области без групп - области, которым не назначена группа. Отображаются в порядке добавления (например, Система 1, Система 2, Система 3).
Переходы
При нажатии на название области будет открыта карточка области. Из области можно перейти к детальной оценке по документам, карточке области и отчетам по области.
При нажатии на название документа будет открыт документ с установленным фильтром по области.
Метрики
Каждый визуальный блок (категория документов или область) содержит три типа показателей:
- Средний показатель соответствия в виде круговой диаграммы (средний процент соответствия по документам). При наведении отображает подробную статистику.
- Показатель оценки соответствия по всем требованиям блока в виде гистограммы. Гистограмма поделена на четыре типа оценки Выполненные / Частично выполненные / Не выполненные требования / Не применимые и количественный показатель Всего требований.
- Показатель статусов документах в виде гистограммы, отображает количество документов по статусу: полностью выполнены, частично выполнены, полностью не выполнены.
- Показатель оценки соответствия по конкретному документу. Гистограмма поделена на три типа оценки Выполненные / Частично выполненные / Не выполненные требования.
Дополнительно
Для областей существует несколько уровней показателей:
Для областей существует несколько уровней показателей:
- Общий процент соответствия для всех документов всех областей. Расположен рядом с заголовком блока Соответствие по областям;
- Общий процент соответствия для всех документов группы областей (или всех областей без групп). Расположен рядом с заголовком группы;
Сценарии использования
Начало процесса оценки соответствия:
- Нажмите «Выбрать документы».
- Найдите нужные стандарты/законы/политики.
- Примите документы в команду при помощи «Контроль» переведите переключатель в «Да».
Создание внутреннего документа для привязки к конкретным активам:
- Нажмите «Создать».
- Заполните карточку документа.
- Настройте методику оценки и, при необходимости, «Оценку по конкретным активам» или привязку к областям.
- После сохранения настроек нажмите создать, у вас откроется блок создания требований.
- Заполните требования.
- Нажмите «Завершить».
Карточка документа
Ответственный
Поле Ответственный позволяет назначить ответственного за документ или отдельное требование.
- У документа поле расположено в шапке рядом с метками.
- У требования поле расположено в карточке под обоснованием статуса.
Выбор сохраняется сразу. Для переназначения необходимо выбрать другое значение. Очистка поля снимает собственное назначение.
Для общей оценки и каждой области оценки назначения хранятся отдельно. Перед выбором ответственного необходимо перейти в нужную область или общий контекст оценки.
Если собственный ответственный не указан, применяется наследование. Приоритет назначения:
- Ответственный за требование в выбранной области.
- Ответственный за документ в выбранной области.
- Ответственный за требование в общем контексте.
- Ответственный за документ в общем контексте.
Ответственный, унаследованный от документа, отображается со значком документа. Если назначения отсутствуют на всех уровнях, уведомления ответственному не направляются.
В списке требований доступен фильтр:
- Ответственный - отбирает требования с учётом собственных назначений и наследования от документа.
Заметки
Используйте блок Заметки, который располагается внизу в карточке объекта, чтобы сохранять комментарии и обсуждать вопросы с коллегами. Добавляйте пояснения по активу, риску, требованию или другому объекту.
Чтобы привлечь коллегу к обсуждению, упомяните его в тексте заметки с помощью символа "@". После сохранения заметки упомянутый пользователь получит уведомление с текстом заметки и ссылкой на объект.
Обратите внимание: в заметках к задачам упоминания недоступны, включая модальное окно задачи.
Как упомянуть пользователя:
- Откройте карточку объекта.
- Перейдите к блоку Заметки.
- Введите текст в поле заметки.
- Введите символ "@".
- Введите не менее двух первых букв имени или адреса электронной почты коллеги.
- Выберите пользователя из списка подсказок.
- При необходимости добавьте другие упоминания.
- Сохраните заметку. После сохранения упомянутые пользователи получат уведомления.
Обратите внимание: выбрать можно только пользователя текущей команды с подтверждённым адресом электронной почты. Упомянуть себя, участника другой команды или пользователя с доступом только к опросам нельзя. В одной заметке учитывается не более 25 упоминаний.
Получение уведомлений
Проверьте включённые каналы уведомлений в своём профиле. Уведомления об упоминаниях поступают по выбранным каналам:
- в системе;
- по электронной почте;
- в Telegram.
Уведомление содержит:
- автора заметки;
- название объекта;
- текст заметки;
- ссылку для перехода к объекту.
Важно: ранее добавленные упоминания не вызывают повторную отправку уведомлений. Уведомления получают только пользователи, выбранные через подсказку в текущем сеансе редактирования
Внешние документы
В базу сервиса добавлены следующие документы, в отношении которых можно управлять соответствием:
- Framework от 11.02.2020 OWASP Software Assurance Maturity Model
- Framework OWASP Devsecops Maturity Model
- Framework OWASP Building Security In Maturity Model
- Федеральный Закон 98 от 29.07.2004 О коммерческой тайне
- Приказ ФСТЭК России 118 от 04.07.2022 Требования по безопасности информации к средствам контейнеризации (выписка)
- Указ Президента РФ 166 от 30.03.2022 О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации
- Приказ ФСБ России 213 от 11.05.2023 Об утверждении порядка осуществления мониторинга защищенности информационных ресурсов
- Приказ ФСТЭК России 239 от 25.12.2017 Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации. Тело приказа.
- Федеральный Закон 187-ФЗ от 26.07.2017 О безопасности критической информационной инфраструктуры Российской Федерации
- Приказ ФСБ России 282 от 19.06.2019 Порядок информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры Российской Федерации
- Методическая документация ФСТЭК от 02.05.2024 Методика оценки показателя состояния технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры Российской Федерации
- Постановление Правительства РФ 127 от 08.02.2018 Правила категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечень показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений
- Приказ ФСБ России 367 от 24.07.2018 Об утверждении Перечня информации, представляемой в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и Порядка представления информации в государственную систему
- Постановление Правительства РФ 1478 от 22.08.2022 Об утверждении требований к программному обеспечению, в том числе в составе программно-аппаратных комплексов
- Приказ ФСБ России 77 от 13.02.2023 Об утверждении порядка взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах,
- Приказ ФСБ России 196 от 06.05.2019 Требования к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты
- Указ Президента РФ 250 от 01.05.2022 О дополнительных мерах по обеспечению информационной безопасности Российской Федерации
- Приказ ФСТЭК России 239 от 25.12.2017 Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости
- Приказ ФСТЭК России 235 от 21.12.2017 Требования к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования
- Приказ ФАПСИ 152 от 13.06.2001 Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну
- Федеральный Закон 63 от 06.04.2011 Об электронной подписи
- Приказ ФСБ России 66 от 09.02.2005 Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)
- Стандарт GMP Annex 11: Computerised Systems (EN) от 30.11.2011 Good Manufacturing Practice. Annex 11: Computerised Systems
- Стандарт GMP Annex 11: Computerised Systems (RU) от 30.11.2011 Правила надлежащей производственной практики. Приложение 11: Компьютеризированные системы
- Приказ Минздрава 911н от 24.12.2018 Требования к государственным информационным системам в сфере здравоохранения субъектов Российской Федерации, медицинским информационным системам медицинских организаций и информационным системам
- ГОСТ Р 57580.4-2022 от 01.02.2023 Безопасность финансовых (банковских) операций. Обеспечение операционной надежности. Базовый состав организационных и технических мер. Раздел 8
- ГОСТ Р 57580.1-2017 от 01.01.2018 Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 9. Требования к защите информации на этапах жизненного цикла автоматизированных систем и приложений
- ГОСТ Р 57580.1-2017 от 01.01.2018 Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 8. Требования к организации и управлению защитой информации
- Стандарт Банка России СТО БР ИББС-1.0-2014 от 01.06.2014 Обеспечение информационной безопасности организаций банковской системы Российской Федерации - Общие положения
- Методические рекомендации Банка России 3-МР от 06.03.2025 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 821-П
- Постановление Правления Национального Банка Республики Казахстан 47 от 27.03.2018 Постановление Правления Национального Банка Республики Казахстан №47
- ГОСТ Р 57580.3-2022 от 01.02.2023 Безопасность финансовых (банковских) операций. Управление риском реализации информационных угроз и обеспечение операционной надежности. Общие положения.
- Положение Банка России 787-П от 12.01.2022 Обязательные для кредитных организаций требованиях к операционной надежности при осуществлении банковской деятельности в целях обеспечения непрерывности оказания банковских услуг
- ГОСТ Р 57580.1-2017 от 01.01.2018 Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 7. Требования к системе защиты информации
- Положение Банка России 821-П от 17.08.2023 О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств
- Постановление Правления Агентства Республики Казахстан 89 от 23.09.2020 Постановление Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка № 89
- ГОСТ Р 57580.4-2022 от 01.02.2023 Безопасность финансовых (банковских) операций. Обеспечение операционной надежности. Базовый состав организационных и технических мер. Раздел 7
- Постановление Правления Национального Банка Республики Казахстан 48 от 27.03.2018 Постановление Правления Национального Банка Республики Казахстан от 27 марта 2018 года № 48
- Стандарт Банка России СТО БР ИББС-1.3-2016 от 01.01.2017 Сбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежных средств
- Методические рекомендации Банка России 18-МР от 20.12.2023 Методические рекомендации Банка России "По описанию наименований объектов информационной инфраструктуры"
- Framework PCI DSS 4.0.1 от 11.06.2024 Payment Card Industry Data Security Standard
- Положение Банка России 833-П от 07.12.2023 О требованиях к обеспечению защиты информации для участников платформы цифрового рубля
- Методические рекомендации Банка России 3-МР от 06.03.2025 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 833-П
- Методические рекомендации Банка России 12-МР от 02.11.2022 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 802-П
- Стандарт Банка России РС БР ИББС-2.9-2016 от 01.05.2016 Предотвращение утечек информации
- Стандарт от 04.04.2023 Стандарт ПС "Мир". Порядок обработки инцидентов ИБ Участником
- Постановление Правительства РФ 584 от 13.06.2012 Положение о защите информации в платежной системе
- Постановление Правления Национального Банка Республики Казахстан 110 от 23.11.2020 Об утверждении Правил оценки уровня защищенности от угроз информационной безопасности
- Положение Банка России 851-П от 30.01.2025 Требования к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента
- Положение Банка России 802-П от 25.07.2022 О требованиях к защите информации в платежной системе Банка России
- Стандарт от 02.12.2021 Требования к системе управления Рисками информационной безопасности Субъектов ПС "Мир"
- Framework PCI DSS 4.0.1 от 11.06.2024 Payment Card Industry Data Security Standard (RU)
- Методические рекомендации Банка России 12-МР от 02.11.2022 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 719-П
- Федеральный Закон 161 от 27.06.2011 О национальной платежной системе
- Методические рекомендации Банка России 12-МР от 02.11.2022 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 683-П
- Стандарт Банка России СТО БР БФБО-1.8-2024 от 01.07.2024 Стандарт Банка России "Безопасность финансовых (банковских) операций. Обеспечение безопасности финансовых сервисов при проведении дистанционной идентификации и аутентификации. Состав мер защиты информации"
- Стандарт от 01.11.2017 Payment Card Industry 3-D Secure (PCI 3DS)
- Стандарт Банка России СТО БР ИББС-1.4-2018 от 01.07.2018 Управление риском нарушения информационной безопасности при аутсорсинге
- Положение Банка России 719-П от 04.06.2020 О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств
- Правила Сбербанк от 12.10.2023 Правила Платежной системы "Сбербанк"
- Постановление Правления Национального Банка Республики Казахстан 188 от 12.11.2019 Правила формирования системы управления рисками и внутреннего контроля для банков второго уровня, филиалов банков-нерезидентов Республики Казахстан
- Методические рекомендации Банка России 3-МР от 06.03.2025 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 802-П
- Методические рекомендации Банка России 3-МР от 06.03.2025 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 851-П
- Framework от 01.06.2021 SWIFT Customer Security Controls Framework v2022
- Положение Банка России 808-П от 17.10.2022 О требованиях к обеспечению защиты информации при осуществлении деятельности в сфере оказания профессиональных услуг на финансовом рынке в целях противодействия осуществлению незаконных финансовых операций
- Положение Банка России 822-П от 30.08.2023 О требованиях к обеспечению защиты информации, содержащейся в автоматизированной информационной системе страхования
- Постановление Правления Национального Банка Республики Казахстан 110 от 23.11.2020 Приложение к Правилам оценки уровня защищенности от угроз информационной безопасности
- Положение Банка России 757-П от 20.04.2021 Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций
- Положение Банка России 779-П от 15.11.2021 Обязательные для некредитных финансовых организаций требования к операционной надежности при осуществлении видов деятельности, предусмотренных частью первой статьи 76.1 Федерального закона от 10 июля 2002 года N 86-ФЗ "О Центральном банке"
- Положение Банка России 683-П от 17.04.2019 Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента
- Методические рекомендации Банка России 12-МР от 02.11.2022 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 821-П
- Стандарт Банка России РС БР ИББС-2.5-2014 от 01.06.2014 Менеджмент инцидентов информационной безопасности
- Постановление Правления Агентства Республики Казахстан 111 от 23.11.2020 Постановление Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка № 111
- Постановление Правления Агентства Республики Казахстан 90 от 21.09.2020 Постановление Правления Агентства Республики Казахстан по регулированию и развитию финансового рынка № 90
- Методические рекомендации Банка России 8-МР от 20.06.2023 Расчет оценки выполнения технологических мер защиты информации, предусмотренных требованиями Положения Банка России № 757-П
- Положение Банка России 716-П от 08.04.2020 О требованиях к системе управления операционным риском в кредитной организации и банковской группе
- Framework от 25.06.2024 CIS Critical Security Controls v8.1 (The 18 CIS CSC)
- Framework от 16.04.2018 NIST Cybersecurity Framework (RU)
- Framework от 25.07.2024 CIS Docker Benchmark v1.7.0
- Framework Jet Container Security Framework (JCSF)
- Framework от 01.09.2017 Guideline for a healthy information system v.2.0 (EN)
- Framework от 01.04.2019 CIS Critical Security Controls v7.1 (SANS Top 20)
- Framework от 01.02.2017 Strategies to Mitigate Cyber Security Incidents (EN)
- ГОСТ Р 59547-2021 от 01.04.2022 Защита информации. Мониторинг информационной безопасности. Общие положения
- Framework Методика экспресс-оценки уровня кибербезопасности организации РезБез
- Framework от 16.04.2018 NIST Cybersecurity Framework (EN)
- Framework от 25.03.2024 CIS Kubernetes Benchmark v1.9.0
- Стандарт ISO/IEC 27002:2022(E) от 01.02.2022 Information security, cybersecurity and privacy protection — Information security controls. Chapter 6-7
- ГОСТ Р 22301 от 01.01.2022 Надежность в технике. Системы менеджмента непрерывности деятельности. Требования
- Стандарт ИСО/МЭК 27001:2022(E) от 25.10.2022 Информационная безопасность, кибербезопасность и защита частной жизни — Системы управления информационной безопасностью — Требования. Тело стандарта
- ГОСТ Р ИСО/МЭК 27001-2021 от 01.01.2022 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования
- ГОСТ Р ИСО/МЭК 27001-2021 от 01.01.2022 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования
- ГОСТ Р ИСО/МЭК 27001-2021 от 01.01.2022 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования - Приложение А
- Стандарт ISO/IEC 27001:2022(E) от 25.10.2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements. Body
- Стандарт ИСО/МЭК 27001:2022(E) от 25.10.2022 Информационная безопасность, кибербезопасность и защита частной жизни — Системы управления информационной безопасностью — Требования. Приложение А
- Стандарт ISO/IEC 27002:2022(E) от 01.02.2022 Information security, cybersecurity and privacy protection — Information security controls. Chapter 5
- Стандарт ISO/IEC 27002:2022(E) от 01.02.2022 Information security, cybersecurity and privacy protection — Information security controls. Chapter 8
- ГОСТ Р ИСО/МЭК 27002-2021 от 30.11.2021 Информационные технологии. Методы и средства обеспечения безопасности. Свод норм и правил применения мер обеспечения информационной безопасности
- Стандарт ISO/IEC 27001:2022(E) от 25.10.2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements. Annex A
- ГОСТ Р 71452-2024 от 13.06.2024 Требования к функциональной безопасности и защите системы контроля промышленной автоматизации (IACS) на протяжении жизненного цикла
- Приказ ФСТЭК России 31 от 14.03.2014 Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления
- Приказ ФСТЭК России 31 от 14.03.2014 Приказ ФСТЭК России №31. Тело приказа.
- Приказ ФСТЭК России 21 от 18.02.2013 Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. Тело приказа.
- Постановление Правительства РФ 687 от 15.09.2008 Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации
- Приказ Роскомнадзора 179 от 28.10.2022 Об утверждении Требований к подтверждению уничтожения персональных данных
- Постановление Правительства РФ 211 от 21.03.2012 Перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами
- Постановление Правительства РФ 687 от 15.09.2008 Чистый документ
- Приказ ФСТЭК России 21 от 18.02.2013 Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных
- Приказ МЦРИАП РК 179/НК от 12.06.2023 Приказ Министра цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан от 12 июня 2023 года № 179/НК
- Приказ Роскомнадзора 180 от 28.10.2022 Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных
- Постановление Правительства РФ 1119 от 01.11.2012 Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных
- Постановление Правительства Республики Казахстан 94-V от 21.05.2013 Закон Республики Казахстан от 21 мая 2013 года № 94-V
- Framework от 19.05.2017 Общий регламент защиты персональных данных (GDPR)
- Приказ Роскомнадзора 178 от 27.10.2022 Требования к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных"
- Федеральный Закон 152 от 27.07.2006 О персональных данных
- Методические рекомендации Роскомнадзора от 13.12.2013 Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. N 996 "Об утверждении требований и методов по обезличиванию персональных данных"
- Приказ Роскомнадзора 996 от 05.09.2013 Об утверждении требований и методов по обезличиванию персональных данных
- Приказ Роскомнадзора 18 от 24.02.2021 Об утверждении требований к содержанию согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения
- Постановление Правительства РФ 883 от 31.05.2023 Об утверждении Положения о единой биометрической системе, в том числе о ее региональных сегментах, и о признании утратившим силу постановления Правительства Российской Федерации от 16 июня 2022 г. N 1089
- Постановление Правительства РФ 676 от 06.07.2015 Требования к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации
- Приказ ФСТЭК России 17 от 11.02.2013 Требования о защите информации, не составляющей государственную тайну, содержащиеся в государственных информационных системах. Тело стандарта.
- Приказ ФСБ России 524 от 24.10.2022 Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, с использованием шифровальных (криптографических) средств
- Приказ ФСТЭК России 17 от 11.02.2013 Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. Приложение 1
- Приказ ФСБ России 117 от 18.03.2025 Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений
- Постановление Правительства РФ 1441 от 01.09.2023 Об утверждении правил хранения на территории РФ информации о фактах приема, передачи, доставки и (или) обработки голосовой информации, текстовых сообщений, изображений, звуков, видео- или иных электронных сообщений
- Постановление Правительства РФ 1385 от 29.10.2019 Об утверждении Правил взаимодействия собственников или иных владельцев технологических сетей связи, имеющих уникальный идентификатор совокупности средств связи и иных технических средств в информационно-телекоммуникационной сети "Интернет"
- Постановление Правительства РФ 313 от 16.04.2012 Положение о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем
- Федеральный Закон 149 от 27.07.2006 Об информации, информационных технологиях и о защите информации
- Приказ Минцифры 935 от 01.11.2023 Об утверждении требований к вычислительной мощности, используемой провайдером хостинга, для проведения УГО, осуществляющими ОРД или обеспечение безопасности РФ, в случаях, установленных ФЗ, мероприятий в целях реализации возложенных на них задач
- "Постановление Правительства РФ 258 от 01.03.2024 Об утверждении требований к антитеррористической защищенности объектов (территорий) промышленности, находящихся в ведении или относящихся к сфере деятельности Министерства промышленности и торговли РФ, и формы паспорта безопасности этих объектов
- Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну.
- Методика оценки уровня зрелости кибербезопасности Сбербанка
- Рекомендации по безопасной настройке операционных систем LINUX
- О связи
- Об утверждении единых требований в области информационно-коммуникационных технологий и обеспечения информационной безопасности
- Правила классификации и постройки морских судов часть XXI
- Об утверждении требований к сетям и средствам связи собственников или иных владельцев технологических сетей связи, имеющих номер автономной системы, для проведения уполномоченными государственными органами, обеспечение безопасности Российской Федерации
- PCI Secure Software Lifecycle v1.1
- ГОСТ Р 56939-2024 Защита информации. Разработка безопасного программного обеспечения. Общие требования"""
- Приказ ФСТЭК России 77 от 29.04.2021 OWASP Top Ten
- Framework от - AppSec Table Top: методология безопасной разработки от Positive Technologies
- Методический документ от 25.12.2022 Методический документ "Методика оценки угроз безопасности информации"
- Федеральный Закон 126 от 07.07.2003 Приказ Министра оборонной и аэрокосмической промышленности Республики Казахстан от 28 марта 2018 года № 52/НҚ
- Постановление Правительства Республики Казахстан 832 от 20.12.2016 Состав и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации
- Правила 2-020101-174 от 01.07.2024 FDA 21 CFR part 11 (EN)
- Приказ Минцифры 646 от 05.11.2019 FDA 21 CFR part 11 (RU)
- Framework от 18.02.2021 О порядке обработки биометрических персональных данных и векторов единой биометрической системы в единой биометрической системе
- ГОСТ Р 56939 от 24.10.2024 Russian Unified Cyber Security Framework (на основе The 18 CIS CSC)
- Методическая документация ФСТЭК от 05.02.2021
- Приказ МОАП РК 52/НҚ от 28.03.2018
- Приказ ФСБ России 378 от 10.07.2014
- Приказ Минцифры 453 от 12.05.2023
Добавление новых документов осуществляется технической поддержкой сервиса по запросу пользователей. Направить запрос на добавление документа
Внутренние документы
Можно создавать собственные документы с требованиями. Эти документы будут доступны только в команде, в рамках которой были созданы.
Для создания документа нужно:
Для создания документа нужно:
- Перейти в раздел Документы Выбор документов
- Нажать на кнопку Создать
- Заполнить реквизиты документа:
Для заполнения обязательны только поля Название и Тип.- Название - полное наименование документа, отображаемое во всех отчетах и интерфейсах системы.
- Ссылка - URL-адрес к электронному тексту или публикации соответствующего документа.
Для формирования URL адреса, будет сформировано автоматически из названия документа. - Короткое название - сокращённое или условное обозначение (например, «152-ФЗ»), используемое в фильтрах и сокращённых представлениях.
- Тип
Если подходящего типа в списке нет можно добавить свой тип. Возможные варианты:
- ГОСТ Р
- Постановление Правительства РФ
- Указ Президента РФ
- Стандарт Банка России
- Приказ ФСТЭК России
- Приказ Роскомнадзора
- Приказ ФСБ России
- Framework
- Методическая документация ФСТЭК
- Методические рекомендации Банка России
- Постановление Правления Национального Банка Республики Казахстан
- Положение Банка России
- Стандарт
- Приказ МОАП РК
- Приказ ФАПСИ
- Постановление Правления Агентства Республики Казахстан
- Федеральный Закон
- Приказ МЦРИАП РК
- Приказ Минцифры
- Приказ Минздрава
- Постановление Правительства Республики Казахстан
- Методический документ
- Правила Сбербанк
- Методические рекомендации Роскомнадзора
- Правила - Номер — официальный регистрационный/идентификационный номер документа, соответствующий его реквизитам.
- Дата - дата издания или утверждения документа.
- Дата редакции — дата актуальной редакции (например, если в документ вносились изменения).
- Действует с — дата начала действия документа.
- Действует по — дата окончания действия, если применимо.
- Группы — предназначены для классификации документов по тематике или предметной области. Один документ может быть отнесён к нескольким группам:
- Безопасная разработка
- Коммерческая тайна
- Внутренние требования
- КИИ
- СКЗИ
- Здравоохранение
- Финансы
- Лучшие практики
- СМИБ
- АСУ ТП
- ПДн
- ГИС
- Общее
По умолчанию выбрана группа Внутренние требования, можно добавить любые другие группы. - Страна - предназначен для классификации документов, для указания страны действия документа.
- Описание - произвольное поле для краткого содержания, аннотации или примечаний.
- Уровни требований
Если в документе есть уровни/классы мер то можно выбрать подходящую классификцию. - Методика оценки по документу
- Стандартная оценка — классическая четырехуровневая шкала статусов:
- Неприменимо
- Не выполнено
- Частично
- Выполнено - Бальная оценка — применяется для количественной оценки выполнения требований с учетом следующих свойств:
- Пороговые значения
- Плохо
- Умеренно
- Хорошо
- Стандартная оценка — классическая четырехуровневая шкала статусов:
- Способ оценки — при использовании Бальной оценки в зависимости от типа документа и специфики требований, метод оценки для каждого требования можно задать из следующих предустановленных вариантов:
- Да / Нет
- Да / Нет + Файлы (требуется приложение подтверждающих документов)
- Да / Нет / Неприменимо + Файлы
- Доля (Процент выполнения
- Да / Нет / Скорее всего да / Скорее всего нет
- Конструктор вариантов — специальный режим, позволяющий самостоятельно настроить варианты ответов на требования, а также присвоить каждому варианту собственный вес в баллах.
- На контроле
Будет ли проводиться контроль соответствия по документу - Включить расширенную классификацию
- Оценка по конкретным активам - перевод документа в другой режим работы;
- Определять применимость требований через активы - дополнительный механизм связанный с модулем Области для автоматического изменения является ли абзац документа требованием. Описание влияние по ссылке.
- Задавать начало или окончание действия требований - устанавливает сроки действия абзаца документа как требования.
- Нажать Создать документ
После создания документа осуществляется переход на страницу редактирования (заполнения) документа. - Каждое требование документа состоит их 3 полей:
- Ссылка
Уникальное обозначение части документа, обязательно для заполнения и не может повторяться в рамках документа. Например- п.7
- Статья 2 п.1
- Потребности директора по продажам
- Текст требования
Основная описательная часть, включая порядковый номер и иные атрибуты. - Является требованием
Часть документа может не являться требованиями а быть вспомогательной текстовой частью (например заголовок раздела или аннотация), чтобы система не считала эти части документа требованиями нужно снять галочку Является требованием.
- Ссылка
- После заполнения полей Ссылка и Текст нажать на кнопку "+" чтобы сохранить требование.
- После сохранения требования появится форма для ввода следующего требования.
- После ввода всех требований документа нажать на кнопку Завершить.
Оценка по конкретным активам
Оценка по конкретным активам - это функциональность, позволяющая проводить оценку документа по отдельным активам, а не в общем разрезе. Это полезно, если необходимо зафиксировать оценки или проверки для конкретных объектов (например, систем, серверов, устройств и т. д.), что часто требуется в процессах аудита, комплаенса или регулярных проверок.
Чтобы настроить такой документ, выполните следующие шаги:
- Перейдите в раздел Требования.
- Нажмите на создание нового документа.
- В настройках документа активируйте опцию Оценка по конкретным активам.
После включения этой опции документ будет работать в "активном" режиме оценки - по каждому выбранному активу будет создаваться отдельная копия (экземпляр) документа для прохождения оценки (документ можно привязать через тип актива или создать для него опрос с типом Оценка соответствия). В зависимости от выбранного типа оценки - ручная или кастомная (например, в виде индивидуальных вопросов или балльных шкал) - процесс проведения оценки будет либо полностью ручным, либо с определёнными заданными параметрами.
Для документов со стандартной оценкой (в том числе с коэффициентами) статус выполнения каждого требования по конкретному активу можно определять двумя способами:
- Ручной - пользователь самостоятельно устанавливает один из доступных статусов требования: Выполнено, Частично, Не выполнено или Неприменимо.
- Автоматический - отображается блок выбора источников расчёта по аналогии с оценкой на уровне документа. После привязки источников и сохранения изменений сразу отображается рассчитанная оценка. Расчёт выполняется только по сущностям, связанным с оцениваемым активом (глобальные настройки документа и данные других активов на результат не влияют).
Чтобы изменить оценку или способ её расчёта (на странице актива или в карточке опроса с типом Оценка соответствия), перейдите в режим редактирования и нажмите кнопку Изменить у нужного требования. В открывшемся модальном окне выберите способ оценки (для всех ранее созданных записей по умолчанию установлен способ Ручной):
Доступные источники для автоматического расчёта:
- Защитные меры - если все связанные с конкретным активом меры находятся в статусе Реализовано, требование получает статус Выполнено; если среди связанных мер есть хотя бы одна мера не в статусе Реализовано, требование получает статус Частично; если у конкретного актива нет связанных мер по данному требованию, этот источник не влияет на итоговый статус;
- Метрики - значение хорошо даёт статус Выполнено, значение умеренно - статус Частично, значение плохо - статус Не выполнено;
- Технические уязвимости - если у конкретного актива есть техническая уязвимость, требование получает статус Не выполнено, если технических уязвимостей нет - статус Выполнено.
Ограничения:
- При автоматической оценке по конкретным активам невозможно привязать защитные меры в активах по областям (как это делается в документах, где оценка не идёт через активы), поскольку сами активы привязываются к документу без областей.
Пример Требуется проводить ежемесячную проверку по чеклисту каждой ИТ-системы. Вы хотите, чтобы этот чеклист был заполнен именно для этой системы, а не по всем системам сразу или в абстрактном виде. В данном случае вы:
- Создаёте внутренний документ с требованиями (чеклист) с отметкой Оценка по конкретным активам;
- Выбираете тип актива, к которому будете привязываться, например "Система".
- Создаёте опрос на владельца актива (ответственного за систему).
- Владелец актива получает уведомление и проходит опрос именно по своей системе.
Отчетность
В разделе "Требования" предусмотрено три варианта экспорта отчетов. Для выгрузки отчета необходимо выбрать интересующий документ, затем воспользоваться кнопкой экспорта (справа вверху) и выбрать желаемый формат отчета из выпадающего списка. Ниже приведено описание каждого варианта:
- Отчет о соответствии требованиям (DOCX)
- Отчет о соответствии (без активов)
- Архив со свидетельствами (ZIP)
ГОСТ 57580 и 3/8/12-МР
Раздел оценки соответствия Оценка реализации ГОСТ 57580 появляется при условии добавления трех документов:
- ГОСТ Р 57580.1-2017 от 01.01.2018 Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 7. Требования к системе защиты информации
- ГОСТ Р 57580.1-2017 от 01.01.2018 Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 9. Требования к защите информации на этапах жизненного цикла автоматизированных систем и приложений
- ГОСТ Р 57580.1-2017 от 01.01.2018 Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 8. Требования к организации и управлению защитой информации
Калькуляторы 3/8/12-МР появляются после взятия на контроль соответствующего документа.
Куда я попал?
Копирование документа это создание его полноценной редактируемой копии.
Копирование используется если вы хотите на базе уже существующего документа создать его измененную версию. Если вы хотите провести контроль соответствия по документу - следует взять документ на контроль, а не копировать его.
Отозвать публикацию документа у команды ?
Документ перестанет передаваться этой команде при следующей синхронизации. Копия, уже взятая командой в работу, останется у неё.
Отозвать публикацию документа у всех дочерних команд?
Документ перестанет передаваться всем командам при следующей синхронизации. Копии, уже взятые командами в работу, останутся у них.
Удаление документа
У документа нет связей с другими объектами
Точно удалить?
Публикация документа в дочерние команды:
Нет активных дочерних команд для публикации.
Идет загрузка данных...
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.