Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

AppSec Table Top: методология безопасной разработки от Positive Technologies

Framework

Безопасность инфраструктуры

Для проведения оценки соответствия по документу войдите в систему.

Список требований

PreStageSDL
Процесс: Безопасность инфраструктуры
Практика: Разграничение доступа
Инициатива: Сегментация сети
Описание:
Сегментация сети подразумевает разделение инфраструктуры на изолированные зоны с различными уровнями доверия. Доступ между зонами строго контролируют, чтобы ограничить движение трафика и предотвратить несанкционированный доступ.
Обычно выделяют такие зоны:
Внутренняя сеть (INT) для хранения конфиденциальных данных.
Внешняя сеть (EXT) для публичного доступа.
Демилитаризованная зона (DMZ) для размещения общедоступных сервисов.
Каждому устройству и приложению в сети назначают конкретная зона исходя из его функций и критичности.
Сегментация сети значительно повышает уровень безопасности, ограничивая зону поражения в случае инцидента. Если один сегмент будет скомпрометирован, злоумышленник столкнется с преградами при попытке доступа к другим зонам. Это позволяет минимизировать ущерб и сохранить работоспособность критичных сервисов.
Шаги реализации:
Проанализировать существующую инфраструктуру.
Определить критичность данных и систем.
Определить модель сегментации.
Спроектировать сетевую схему, включающую все устройства, сервисы, зоны и связи между ними.
Определить правила доступа между зонами: какой трафик разрешен, а какой запрещен.
Внедрить и настроить в соответствии с правилами технические средства: брандмауэры, маршрутизаторы, VLAN, VPN.
Регулярно анализировать логи брандмауэра и систем мониторинга.
При необходимости актуализировать политики безопасности и правила доступа.
Зона ответственности: ИБ
Инструмент: -
Артефакт: Технический проект
Инициатива: Ролевая модель
Описание:
Ролевая модель доступа (RBAC) — это модель управления доступом, основанная на привязке прав не к отдельным пользователям, а к ролям, которые они выполняют в организации. Это позволяет упростить администрирование доступа, повысить уровень безопасности и обеспечить соответствие требованиям регуляторов. Ключевые элементы ролевой модели: роли, права доступа и ресурсы.
Принцип наименьших привилегий является фундаментальным при построении ролевой модели: каждый пользователь должен иметь доступ только к тем ресурсам и операциям, которые ему необходимы для выполнения своих рабочих обязанностей.
На основе ролевой модели в организации можно настроить доменную аутентификацию, которая позволит централизованно управлять учетными записями и правами доступа, а также упростит процесс предоставления или отзыва прав при смене должности или увольнении сотрудников.
Шаги реализации:
Изучить структуру организации и должностные обязанности.
Создать список ролей, отражающий должностные функции сотрудников.
Определить ресурсы, к которым нужен доступ: файлы, папки, приложения, базы данных и т. д.
Назначить права доступа для каждой роли, руководствуясь принципом наименьших привилегий.
Настроить доменную аутентификацию на основе службы каталогов (например, Active Directory).
Создать группы безопасности, соответствующие определенным ролям в RBAC.
Назначить пользователей в соответствующие группы, основываясь на их должностных обязанностях.
Настроить политики доступа к ресурсам, основываясь на группах безопасности.
Внедрить правила для учетных записей пользователей, групп и ролей: назначения, смены, удаления привилегий и т. п.
Зона ответственности: ИБ
Инструмент: -
Артефакт: Ролевая модель
Практика: Безопасность конфигурации
Инициатива: Харденинг
Описание:
Харденинг — это безопасная настройка конфигураций для устранения потенциальных уязвимостей и снижения рисков кибератак. В основе активности — тщательная инвентаризация и настройка всех элементов IT-инфраструктуры, анализ конфигураций на соответствие требованиям безопасности [TMR4] и лучшим практикам.
Основные принципы харденинга:
- Применение принципа минимальных привилегий: отключение всех ненужных сервисов, протоколов, портов, ограничение прав доступа пользователей и приложений.
- Установка безопасных параметров: настройка аутентификации, авторизации, шифрования, журналирования, резервного копирования.
- Своевременное обновление ПО: установка патчей безопасности, обновление антивирусных баз и т. д.
- Документирование и автоматизация: создание документации по конфигурациям, автоматизация процессов настройки и мониторинга.
Шаги реализации:
1. Провести инвентаризацию IT-инфраструктуры: сервера, сетевые устройства, рабочие станции, приложения и базы данных.
2. Проанализировать существующие настройки безопасности и оценить их соответствие требованиям.
3. Разработать план и инструкции по харденингу для каждого типа систем и приложений.
4. Внедрить меры харденинга:
  Отключение ненужных сервисов, протоколов, портов.
  Настройка сильных паролей и механизмов аутентификации.
  Журналирование и мониторинг событий безопасности.
  Настройка брандмауэров и других инструментов безопасности.
  Внедрение шифрования данных при хранении и передаче.
  Регулярная установка обновлений и патчей.
5. Создать подробную документацию по безопасной настройке конфигураций.
6. Довести информацию до сотрудников и разместить на внутреннем портале.
7. Регулярно анализировать и актуализировать настройки безопасности с учетом новых угроз и изменений в инфраструктуре.
Зона ответственности: ИТ
Инструмент: -
Артефакт: Описание конфигураций инфраструктуры
Инициатива: Учёт рисков при настройке инфраструктуры
Описание:
Безопасность инфраструктуры не ограничивается базовым харденингом [CNFG1]. Важно учитывать специфику и слабые места приложений/организации, руководствуясь актуальными рисками. Анализ результатов моделирования угроз [TMR1], разработка мер митигации [TMR5] и следование рекомендациям безопасности выбранного технологического стека [TP1] — ключевые аспекты этого процесса.
Шаги реализации:
1. Проанализировать актуальные для приложения/инфраструктуры риски и слабые места.
2. Ознакомиться с предлагаемыми (по результатам других активностей) мерами митигаций, рекомендациями по контролю ПО и ограничениями технологического стека.
3. Проанализировать текущее состояние безопасности конфигураций активов инфраструктуры.
4. Выбрать и внедрить меры защиты в существующую IT-инфраструктуру.
5. Настроить и протестировать работу новых систем и механизмов безопасности.
6. Убедиться, что меры безопасности не влияют на производительность и доступность критически важных приложений.
7. Дополнить документацию по безопасной настройке конфигураций.
8. Регулярно анализировать и актуализировать настройки безопасности с учетом новых угроз и изменений в инфраструктуре.
Зона ответственности: ИТ
Инструмент: -
Артефакт: Описание конфигураций инфраструктуры

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.