Раздел 7.2 Процесс 1 Доступ ГОСТА Р 57580.1 Раздела 7

УЗП.1 Осуществление логического доступа пользователями и эксплуатационным персоналом под уникальными и персонифицированными учетными записями
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.2 Контроль соответствия фактического состава разблокированных учетных записей фактическому составу легальных субъектов логического доступа
3-О 2-О 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.З Контроль отсутствия незаблокированных учетных записей:

уволенных работников;
работников, отсутствующих на рабочем месте более 90 календарных дней;
работников внешних (подрядных) организаций, прекративших свою деятельность в организации

3-О 2-О 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.4 Контроль отсутствия незаблокированных учетных записей неопределенного целевого назначения
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

Базовый состав мер по организации, контролю предоставления (отзыва) и блокированию логического доступа

УЗП.5 Документарное определение правил предоставления (отзыва) и блокирования логического доступа
3-Н 2-О 1-О

Обязательно для уровня защиты 1 2

УЗП.6 Назначение для всех ресурсов доступа распорядителя логического доступа (владельца ресурса доступа)
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

УЗП.7 Предоставление прав логического доступа по решению распорядителя логического доступа (владельца ресурса доступа)
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

УЗП.8 Хранение эталонной информации о предоставленных правах логического доступа и обеспечение целостности указанной информации
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.9 Контроль соответствия фактических прав логического доступа эталонной информации о предоставленных правах логического доступа
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.10 Исключение возможного бесконтрольного самостоятельного расширения пользователями предоставленных им прав логического доступа
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.11 Исключение возможного бесконтрольного изменения пользователями параметров настроек средств и систем защиты информации, параметров настроек АС, связанных с защитой информации
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.12 Контроль необходимости отзыва прав субъектов логического доступа при изменении их должностных обязанностей
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

УЗП.13 Контроль прекращения предоставления логического доступа и блокирование учетных записей при истечении периода (срока) предоставления логического доступа
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.14 Установление фактов неиспользования субъектами логического доступа предоставленных им прав на осуществление логического доступа на протяжении периода времени, превышающего 90 дней
3-О 2-Т 1-Н

Обязательно для уровня защиты 2 3

УЗП.15 Установление фактов неиспользования субъектами логического доступа предоставленных им прав на осуществление логического доступа на протяжении периода времени, превышающего 45 дней
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

УЗП.16 Реализация контроля со стороны распорядителя логического доступа целесообразности дальнейшего предоставления прав логического доступа, не использованных субъектами на протяжении периода времени, указанного в мерах УЗП.14, УЗП.15 настоящей таблицы
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

УЗП.17 Реализация возможности определения состава предоставленных прав логического доступа для конкретного ресурса доступа
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.18 Реализация возможности определения состава предоставленных прав логического доступа для конкретного субъекта логического доступа
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.19 Определение состава ролей, связанных с выполнением операции (транзакции) в АС, имеющих финансовые последствия для финансовой организации, клиентов и контрагентов, и ролей, связанных с контролем выполнения указанных операций (транзакций), запрет выполнения указанных ролей одним субъектом логического доступа
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.20 Реализация правил управления правами логического доступа, обеспечивающих запрет совмещения одним субъектом логического доступа ролей, предусмотренных мерой УЗП.19 настоящей таблицы
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.21 Реализация правил управления правами логического доступа, обеспечивающих запрет совмещения одним субъектом логического доступа следующих функций:

эксплуатация и (или) контроль эксплуатации ресурса доступа, в том числе АС, одновременно с использованием по назначению ресурса доступа в рамках реализации бизнес-процесса финансовой организации;
создание и (или) модернизация ресурса доступа, в том числе АС, одновременно с использованием по назначению ресурса доступа в рамках реализации бизнес-процесса финансовой организации;
эксплуатация средств и систем защиты информации одновременно с контролем эксплуатации средств и систем защиты информации;
управление учетными записями субъектов логического доступа одновременно с управлением правами субъектов логического доступа

3-Н 2-О 1-Т

Обязательно для уровня защиты 1 2

Базовый состав мер по регистрации событий защиты информации и контролю использования предоставленных прав логического доступа

УЗП.22 Регистрация событий защиты информации, связанных с действиями, и контроль действий эксплуатационного персонала, обладающего привилегированными правами логического доступа, позволяющими осуществить деструктивное воздействие, приводящие к нарушению выполнения бизнес-процессов или технологических процессов финансовой организации
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

УЗП.23 Регистрация событий защиты информации, связанных с действиями, и контроль действий эксплуатационного персонала и пользователей, обладающих правами логического доступа, в том числе в АС, позволяющими осуществить операции (транзакции), приводящие к финансовым последствиям для финансовой организации, клиентов и контрагентов
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.24 Регистрация событий защиты информации, связанных с действиями, и контроль действий эксплуатационного персонала, обладающего правами по управлению логическим доступом
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.25 Регистрация событий защиты информации, связанных с действиями по управлению учетными записями и правами субъектов логического доступа
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.26 Регистрация событий защиты информации, связанных с действиями, и контроль действий эксплуатационного персонала, обладающего правами по управлению техническими мерами, реализующими многофакторную аутентификацию
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

УЗП.27 Регистрация событий защиты информации, связанных с действиями, и контроль действий эксплуатационного персонала, обладающего правами по изменению параметров настроек средств и систем защиты информации, параметров настроек АС, связанных с защитой информации
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

УЗП.28 Регистрация событий защиты информации, связанных с действиями, и контроль действий эксплуатационного персонала, обладающего правами по управлению криптографическими ключами
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

УЗП.29 Закрепление АРМ пользователей и эксплуатационного персонала за конкретными субъектами логического доступа
3-Н 2-О 1-О

Обязательно для уровня защиты 1

7.2.2 Подпроцесс "Идентификация, аутентификация, авторизация (разграничение доступа) при осуществлении логического доступа"

Базовый состав мер по идентификации и аутентификации субъектов логического доступа

РД.1 Идентификация и однофакторная аутентификация пользователей
3-Т 2-Т 1-Н

Обязательно для уровня защиты 2 3

РД.2 Идентификация и многофакторная аутентификация пользователей
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

РД.3 Идентификация и однофакторная аутентификация эксплуатационного персонала
3-Т 2-Н 1-Н

Обязательно для уровня защиты 3

РД.4 Идентификация и многофакторная аутентификация эксплуатационного персонала
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

РД.5 Аутентификация программных сервисов, осуществляющих логический доступ с использованием технических учетных записей
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.6 Аутентификация АРМ эксплуатационного персонала, используемых для осуществления логического доступа
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

РД.7 Аутентификация АРМ пользователей, используемых для осуществления логического доступа
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

РД.8 Сокрытие (неотображение) паролей при их вводе субъектами доступа
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.9 Запрет использования учетных записей субъектов логического доступа с незаданными аутентификационными данными или заданными по умолчанию разработчиком ресурса доступа, в том числе разработчиком АС
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

РД.10 Запрет на использование групповых, общих и стандартных учетных записей и паролей, а также прочих подобных методов идентификации и аутентификации, не позволяющих определить конкретного субъекта доступа
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

РД.11 Временная блокировка учетной записи пользователей после выполнения ряда неуспешных последовательных попыток аутентификации на период времени не менее 30 мин
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.12 Запрет множественной аутентификации субъектов логического доступа с использованием одной учетной записи путем открытия параллельных сессий логического доступа с использованием разных АРМ, в том числе виртуальных
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

РД.13 Обеспечение возможности выполнения субъектом логического доступа работниками финансовой организации процедуры принудительного прерывания сессии логического доступа и (или) приостановки осуществления логического доступа (с прекращением отображения на мониторе АРМ информации, доступ к которой получен в рамках сессии осуществления логического доступа)
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.14 Автоматическое прерывание сессии логического доступа (приостановка осуществления логического доступа) по истечении установленного времени бездействия (неактивности) субъекта логического доступа, не превышающего 15 мин., с прекращением отображения на мониторе АРМ информации, доступ к которой получен в рамках сессии осуществления логического доступа
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.15 Выполнение процедуры повторной аутентификации для продолжения осуществления логического доступа после его принудительного или автоматического прерывания (приостановки осуществления логического доступа), предусмотренного мерами РД.13 и РД.14 настоящей таблицы
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.16 Использование на АРМ субъектов логического доступа встроенных механизмов контроля изменения базовой конфигурации оборудования (пароль на изменение параметров конфигурации системы, хранящихся в энергонезависимой памяти)
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

Базовый состав мер по организации управления и организации защиты идентификационных и аутентификационных данных

РД.17 Запрет на использование технологии аутентификации с сохранением аутентификационных данных в открытом виде в СВТ
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.18 Запрет на передачу аутентификационных данных в открытом виде по каналам и линиям связи и их передачу куда-либо, кроме средств или систем аутентификации
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.19 Смена паролей пользователей не реже одного раза в год
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.20 Смена паролей эксплуатационного персонала не реже одного раза в квартал
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.21 Использование пользователями паролей длиной не менее восьми символов
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.22 Использование эксплуатационным персоналом паролей длиной не менее шестнадцати символов
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.23 Использование при формировании паролей субъектов логического доступа символов, включающих буквы (в верхнем и нижнем регистрах) и цифры
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.24 Запрет использования в качестве паролей субъектов логического доступа легко вычисляемых сочетаний букв и цифр (например, имена, фамилии, наименования, общепринятые сокращения)
3-Н 2-О 1-О

Обязательно для уровня защиты 1 2

РД.25 Обеспечение возможности самостоятельной смены субъектами логического доступа своих паролей
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.26 Хранение копий аутентификационных данных эксплуатационного персонала на выделенных МНИ или на бумажных носителях
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

РД.27 Реализация защиты копий аутентификационных данных эксплуатационного персонала от НСД при их хранении на МНИ или бумажных носителях
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

РД.28 Регистрация персонификации, выдачи (передачи) и уничтожения персональных технических устройств аутентификации, реализующих многофакторную аутентификацию
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

РД.29 Смена аутентификационных данных в случае их компрометации
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

Базовый состав мер по авторизации (разграничению доступа) при осуществлении логического доступа

РД.30 Авторизация логического доступа к ресурсам доступа, в том числе АС
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.31 Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод) при разграничении логического доступа к ресурсам доступа
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.32 Реализация ролевого метода (с определением для каждой роли прав доступа) при разграничении логического доступа в АС
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

РД.33 Реализация необходимых типов (чтение, запись, выполнение или иной тип) и правил разграничения логического доступа к ресурсам доступа, в том числе АС
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.34 Запрет реализации пользователями бизнес-процессов и технологических процессов финансовой организации с использования учетных записей эксплуатационного персонала, в том числе в АС
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.35 Запрет выполнения пользователями бизнес-процессов с использованием привилегированных прав логического доступа, в том числе работы пользователей с правами локального администратора АРМ
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.36 Оповещение субъекта логического доступа после успешной авторизации о дате и времени его предыдущей авторизации в АС
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

РД.37 Контроль состава разрешенных действий в АС до выполнения идентификации и аутентификации
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

РД.38 Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

Базовый состав мер по регистрации событий защиты информации, связанных с идентификацией, аутентификацией и авторизацией (разграничением доступа) при осуществлении логического доступа

РД.39 Регистрация выполнения субъектами логического доступа ряда неуспешных последовательных попыток аутентификации
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

РД.40 Регистрация осуществления субъектами логического доступа идентификации и аутентификации
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.41 Регистрация авторизации, завершения и (или) прерывания (приостановки) осуществления эксплуатационным персоналом и пользователями логического доступа, в том числе в АС
3-Т 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

РД.42 Регистрация запуска программных сервисов, осуществляющих логический доступ
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

РД.43 Регистрация изменений аутентификационных данных, используемых для осуществления логического доступа
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

РД.44 Регистрация действий пользователей и эксплуатационного персонала, предусмотренных в случае компрометации их аутентификационных данных
3-Н 2-О 1-О

Обязательно для уровня защиты 1 2

7.2.3 Подпроцесс "Защита информации при осуществлении физического доступа"

Базовый состав мер по организации и контролю физического доступа в помещения

ФД.1 Документарное определение правил предоставления физического доступа
3-Н 2-О 1-О

Обязательно для уровня защиты 1 2

ФД.2 Контроль перечня лиц, которым предоставлено право самостоятельного физического доступа в помещения
3-О 2-О 1-Т

Обязательно для уровня защиты 1 2 3

ФД.3 Контроль самостоятельного физического доступа в помещения для лиц, не являющихся работниками финансовой организации
3-Н 2-О 1-Т

Обязательно для уровня защиты 1 2

ФД.4 Контроль самостоятельного физического доступа в помещения для технического (вспомогательного) персонала
3-Н 2-О 1-Т

Обязательно для уровня защиты 1 2

ФД.5 Осуществление физического доступа лицами, которым не предоставлено право самостоятельного доступа в помещения, только под контролем работников финансовой организации, которым предоставлено такое право
3-Н 2-О 1-О

Обязательно для уровня защиты 1 2

ФД.6 Назначение для всех помещений распорядителя физического доступа
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

ФД.7 Предоставление права самостоятельного физического доступа в помещения по решению распорядителя физического доступа
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

ФД.8 Оборудование входных дверей помещения механическими замками, обеспечивающими надежное закрытие помещений в нерабочее время
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

ФД.9 Оборудование помещений средствами (системами) контроля и управления доступом
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

ФД.10 Оборудование помещений средствами видеонаблюдения
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

ФД.11 Оборудование помещений средствами охранной и пожарной сигнализации
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

ФД.12 Расположение серверного и сетевого оборудования в запираемых серверных стоечных шкафах
3-Н 2-О 1-О

Обязательно для уровня защиты 1 2

ФД.13 Контроль доступа к серверному и сетевому оборудованию, расположенному в запираемых серверных стоечных шкафах
3-Н 2-О 1-О

Обязательно для уровня защиты 1 2

ФД.14 Хранение архивов информации средств (систем) контроля и управления доступом не менее трех лет
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

ФД.15 Хранение архивов информации средств видеонаблюдения не менее 14 дней (в случае применения средств видеонаблюдения)
3-Н 2-Т 1-Н

Обязательно для уровня защиты 2

ФД.16 Хранение архивов информации средств видеонаблюдения не менее 90 дней
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

Базовый состав мер по организации и контролю физического доступа к общедоступным объектам доступа

ФД.17 Регистрация доступа к общедоступным объектам доступа с использованием средств видеонаблюдения
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

ФД.18 Хранение архивов информации средств видеонаблюдения, регистрирующих доступ к общедоступным объектам доступа, не менее 14 дней
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

ФД.19 Контроль состояния общедоступных объектов доступа с целью выявлений несанкционированных изменений в их аппаратном обеспечении и (или) ПО
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

ФД.20 Приведение общедоступных объектов доступа, для которых были выявлены несанкционированные изменения в их аппаратном обеспечении и (или) ПО (до устранения указанных несанкционированных изменений), в состояние, при котором невозможно их использование для осуществления операции (транзакции), приводящей к финансовым последствиям для финансовой организации, клиентов и контрагентов
3-О 2-О 1-О

Обязательно для уровня защиты 1 2 3

Базовый состав мер по регистрации событий, связанных с физическим доступом

ФД.21 Регистрация событий защиты информации, связанных с входом (выходом) в помещения (из помещений), в которых расположены объекты доступа
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

7.2.4 Подпроцесс "Идентификация и учет ресурсов и объектов доступа"

Базовый состав мер по организации учета и контроля состава ресурсов и объектов доступа

ИУ.1 Учет созданных, используемых и (или) эксплуатируемых ресурсов доступа
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

ИУ.2 Учет используемых и (или) эксплуатируемых объектов доступа
3-О 2-О 1-Т

Обязательно для уровня защиты 1 2 3

ИУ.3 Учет эксплуатируемых общедоступных объектов доступа (в том числе банкоматов, платежных терминалов)
3-О 2-О 1-Т

Обязательно для уровня защиты 1 2 3

ИУ.4 Контроль фактического состава созданных, используемых и (или) эксплуатируемых ресурсов доступа (баз данных, сетевых файловых ресурсов, виртуальных машин) и их корректного размещения в сегментах вычислительных сетей финансовой организации
3-О 2-Т 1-Т

Обязательно для уровня защиты 1 2 3

ИУ.5 Контроль выполнения операций по созданию, удалению и резервному копированию ресурсов доступа (баз данных, сетевых файловых ресурсов, виртуальных машин)
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

ИУ.6 Контроль фактического состава эксплуатируемых объектов доступа и их корректного размещения в сегментах вычислительных сетей финансовой организации
3-Н 2-О 1-Т

Обязательно для уровня защиты 1 2

Базовый состав мер по регистрации событий защиты информации, связанных с операциями по изменению состава ресурсов и объектов доступа

ИУ.7 Регистрация событий защиты информации, связанных с созданием, копированием, в том числе резервным, и (или) удалением ресурсов доступа (баз данных, сетевых файловых ресурсов, виртуальных машин)
3-Н 2-Т 1-Т

Обязательно для уровня защиты 1 2

ИУ.8 Регистрация событий защиты информации, связанных с подключением (регистрацией) объектов доступа в вычислительных сетях финансовой организации
3-Н 2-Н 1-Т

Обязательно для уровня защиты 1

ГОСТ Р № 57580.1-2017 от 01.01.2018

7.2 Процесс 1 Доступ

Список требований