Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

ГОСТ Р № 57580.1-2017 от 01.01.2018

Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 7. Требования к системе защиты информации

ФД.9

Для проведения оценки соответствия по документу войдите в систему.

Похожие требования

Приказ ФАПСИ № 152 от 13.06.2001 "Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну":
Глава IV п. 55
55. Двери спецпомещений органов криптографической защиты должны быть постоянно закрыты на замок и могут открываться только для санкционированного прохода сотрудников и посетителей. Ключи от входных дверей нумеруют, учитывают и выдают сотрудникам органов криптографической защиты под расписку в журнале учета хранилищ. Дубликаты ключей от входных дверей таких спецпомещений следует хранить в сейфе руководителя органа криптографической защиты. Хранение дубликатов ключей вне помещений органа криптографической защиты не допускается.
Приказ ФСТЭК России № 21 от 18.02.2013 "Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных":
ЗТС.2 ЗТС.2 Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования
Framework № PCI DSS 4.0 от 01.03.2022 "Payment Card Industry Data Security Standard":
Requirement 9.3.1.1
9.3.1.1
Defined Approach Requirements: 
 Physical access to sensitive areas within the CDE for personnel is controlled as follows: 
  • Access is authorized and based on individual job function. 
  • Access is revoked immediately upon termination.
  • All physical access mechanisms, such as keys, access cards, etc., are returned or disabled upon termination. 
Customized Approach Objective:
Sensitive areas cannot be accessed by unauthorized personnel. 

Defined Approach Testing Procedures:
  • 9.3.1.1.a Observe personnel in sensitive areas within the CDE, interview responsible personnel, and examine physical access control lists to verify that: 
    • Access to the sensitive area is authorized. 
    • Access is required for the individual’s job function. 
  • 9.3.1.1.b Observe processes and interview personnel to verify that access of all personnel is revoked immediately upon termination. 
  • 9.3.1.1.c For terminated personnel, examine physical access controls lists and interview responsible personnel to verify that all physical access mechanisms (such as keys, access cards, etc.) were returned or disabled. 
Purpose:
Controlling physical access to sensitive areas helps ensure that only authorized personnel with a legitimate business need are granted access. 

Good Practice:
Where possible, organizations should have policies and procedures to ensure that before personnel leaving the organization, all physical access mechanisms are returned, or disabled as soon as possible upon their departure. This will ensure personnel cannot gain physical access to sensitive areas once their employment has ended. 
ГОСТ Р № ИСО/МЭК 27001-2021 от 01.01.2022 "Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования - Приложение А":
A.11.1.3
A.11.1.3 Безопасность зданий, помещений и оборудования 
Мера обеспечения информационной безопасности: Должна быть разработана и реализована физическая защита зданий, помещений и оборудования 
A.11.2.1
A.11.2.1 Размещение и защита оборудования 
Мера обеспечения информационной безопасности: Оборудование должно быть размещено и защищено таким образом, чтобы снизить риски информационной безопасности от угроз и опасностей со стороны окружающей среды и возможности несанкционированного доступа 
Framework № PCI DSS 4.0 от 01.03.2022 "Payment Card Industry Data Security Standard (RU)":
Requirement 9.3.1.1
9.3.1.1
Определенные Требования к Подходу:
Физический доступ персонала к критическим зонам в пределах CDE контролируется следующим образом:
  • Доступ авторизован и основан на индивидуальной функции задания.
  • Доступ аннулируется сразу же после прекращения действия.
  • Все физические механизмы доступа, такие как ключи, карты доступа и т.д., возвращаются или отключаются после прекращения действия.
Цель Индивидуального подхода:
Несанкционированный персонал не может получить доступ к критическим зонам.

Определенные Процедуры Тестирования Подхода:
  • 9.3.1.1.a Наблюдать за персоналом в критичных зонах CDE, опрашивать ответственный персонал и изучать списки контроля физического доступа, чтобы убедиться, что:
    • Доступ к конфиденциальной области разрешен.
    • Доступ необходим для выполнения человеком своих должностных функций.
  • 9.3.1.1.b Наблюдайте за процессами и опрашивайте персонал, чтобы убедиться, что доступ всего персонала аннулируется немедленно после прекращения.
  • 9.3.1.1.c Для уволенного персонала изучите списки контроля физического доступа и опросите ответственный персонал, чтобы убедиться, что все механизмы физического доступа (такие как ключи, карты доступа и т.д.) были возвращены или отключены.
Цель:
Контроль физического доступа к конфиденциальным зонам помогает гарантировать, что доступ предоставляется только авторизованному персоналу с законными деловыми потребностями.

Надлежащая практика:
Там, где это возможно, организации должны иметь политику и процедуры, гарантирующие, что перед тем, как персонал покинет организацию, все механизмы физического доступа будут возвращены или отключены как можно скорее после их ухода. Это гарантирует, что персонал не сможет получить физический доступ к критичным зонам после окончания срока их службы.
Приказ ФСТЭК России № 17 от 11.02.2013 "Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах":
ЗТС.2 ЗТС.2 Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования
Стандарт № ИСО/МЭК 27001:2022(E) от 25.10.2022 "Информационная безопасность, кибербезопасность и защита частной жизни — Системы управления информационной безопасностью — Требования. Приложение А":
А.8.12
А.8.12 Защита от утечки данных
В отношении систем, сетей и любых иных устройств, которые обрабатывают, хранят или передают критичную информацию должны применяться меры по предотвращению утечки данных.
А.7.2
А.7.2 Защита физического входа
Зоны физической безопасности должны быть защищены соответствующими средствами контроля и управления доступом.
А.7.3
А.7.3 Безопасность офисов, помещений и помещений
Должна быть разработана и внедрена физическая безопасность для офисов, помещений и зданий.
А.7.1
А.7.1 Периметры физической безопасности
В целях защиты физических помещений и зон, содержащих информационные и иные связанные с ними активы, должны быть определены и использоваться периметры безопасности.
А.7.4
А.7.4 Мониторинг физической безопасности
Помещения должны объектом непрерывного мониторинга на предмет выявления несанкционированного физического доступа.
SWIFT Customer Security Controls Framework v2022:
3 - 3.1 Physical Security
3.1 Physical Security
Приказ ФСТЭК России № 31 от 14.03.2014 "Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления":
ЗТС.2 ЗТС.2 Организация контролируемой зоны
Приказ ФСБ России № 378 от 10.07.2014 "Состав и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации":
Глава V п. 25
25. Для выполнения требования, указанного в подпункте "а" пункта 5 настоящего документа, для обеспечения 1 уровня защищенности необходимо:
  • а) оборудовать окна Помещений, расположенные на первых и (или) последних этажах зданий, а также окна Помещений, находящиеся около пожарных лестниц и других мест, откуда возможно проникновение в Помещения посторонних лиц, металлическими решетками или ставнями, охранной сигнализацией или другими средствами, препятствующими неконтролируемому проникновению посторонних лиц в помещения;
  • б) оборудовать окна и двери Помещений, в которых размещены серверы информационной системы, металлическими решетками, охранной сигнализацией или другими средствами, препятствующими неконтролируемому проникновению посторонних лиц в помещения.
Приказ ФСТЭК России № 239 от 25.12.2017 "Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости":
ЗТС.2 ЗТС.2 Организация контролируемой зоны
Стандарт № ISO/IEC 27001:2022(E) от 25.10.2022 "Information security, cybersecurity and privacy protection — Information security management systems — Requirements. Annex A":
А.8.12
А.8.12 Data leakage prevention
Data leakage prevention measures shall be applied to systems, networks and any other devices that process, store or transmit sensitive information.
А.7.4
А.7.4 Physical security monitoring
Premises shall be continuously monitored for unauthorized physical access.
А.7.1
А.7.1 Physical security perimeters
Security perimeters shall be defined and used to protect areas that contain information and other associated assets.
А.7.2
А.7.2 Physical entry
Secure areas shall be protected by appropriate entry controls and access points.
А.7.3
А.7.3 Securing offices, rooms and facilities
Physical security for offices, rooms and facilities shall be designed and implemented.

Связанные защитные меры

Ничего не найдено