Соответствие требованиям

Куда я попал?

Вы попали в сервис, который помогает корпоративным службам безопасности строить свои рабочие процессы: управление рисками, контроль соответствия требованиям, учет активов, планирование и сопровождение защитных мер на всем их жизненном цикле, распределение задач и т.д.
Еще SECURITM является платформой для обмена опытом и наработками между участниками сообщества служб безопасности.

Подробнее

Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 9. Требования к защите информации на этапах жизненного цикла автоматизированных систем и приложений

ГОСТ Р № 57580.1-2017 от 01.01.2018

ЖЦ.21

Для проведения оценки соответствия по документу войдите в систему.

Показывать только требования

ЖЦ.21 Обеспечение оперативного устранения выявленных уязвимостей защиты информации АС, включая уязвимости прикладного ПО

Обязательно для уровня защиты 1 2 3

Связанные защитные меры

	Название	Дата	Влияние
Community 3 15 / 26	Установка обновлений для ОС Linux Ежемесячно Вручную Техническая Превентивная Компенсирующая 31.05.2022	31.05.2022	3 15 / 26
Цель: устранение технических уязвимостей в операционных системах Linux. Варианты реализации: вручную или автоматически (например, с использованием unattended-upgrades). Возможный алгоритм действий: Установка обновлений на тестовой среде, проверка работоспособности. Предварительное резервное копирование хостов, по необходимости. Например, для критичных серверов. Предупреждение владельцев обновляемых активов, планирование и согласование времени проведения обновлений. Проведение обновления. Проверка работоспособности обновленной ОС и размещенных на ОС прикладных приложений/систем. Процедура может быть совмещена с иными профилактическими мероприятиями - контролем установленных средств защиты, проверкой конфигурации на соответствие требованиям безопасности и т.п. Инструкции для обновлений от производителей операционных систем: Red Hat EL, Ubuntu, Debian. Команды для обновления приложений в Ubuntu: Получение актуальных версий пакетов sudo apt update Вывод списка затрагиваемых пакетов apt list --upgradable Выполнение обновления всех пакетов sudo apt upgrade или sudo apt full-upgrade upgrade - устанавливает самые новые версии всех пакетов доступные в репозиториях. Использует все репозитории их /etc/apt/souces.list и /etc/apt/souces.list.d/. Происходит обновление только установленных пакетов, если же для обновления пакета необходимо установить или удалить другой пакет, такие пакеты обновлены не будут. full-upgrade* - поддерживается умное разрешение зависимостей для новых версий пакетов, конфликтующие пакеты могут быть удалены, а новые, дополнительные - установлены. *Рекомендации к заполнению карточки:* Описать политику установки обновлений (объем устанавливаемых обновлений, режим/процедуру установки). В карточке или как ссылку на внешний документ. Если обновления устанавливаются вручную - создать шаблон регулярной задачи на проведение обновлений.
Community 1 13 / 25	Централизованная установка обновлений для ОС Windows через WSUS сервер Ежедневно Автоматически Техническая Превентивная Компенсирующая 04.05.2022	04.05.2022	1 13 / 25
Цель: устранение технических уязвимостей в системном и прикладном ПО Microsoft Для доменной инфраструктуры Windows централизация установки обновлений ОС и продуктов Microsoft (Edge, Office) осуществляется через службу обновлений Windows Server Update Services (WSUS). Обновления могут устанавливаться автоматически или вручную. Режим обновления может быть различным в зависимости от типа обновляемых активов. Например для ПК - автоматическая установка, а на серверы - вручную администратором. Могут устанавливаться все обновления или только критические обновления и обновления безопасности. Настройка режима обновления осуществляется на уровне службы WSUS и на уровне ПК/Серверов через групповые политики домена (GPO). *Рекомендации к заполнению карточки:* Описать политику установки обновлений (объем устанавливаемых обновлений, режим/процедуру установки) Добавить WSUS сервер(ы) в реестр активов (тип - WSUS) и связать с карточкой как инструменты. Описать политики (GPO) обновлений. Если GPO ведутся в реестре активов - связать с карточкой меры как инструменты. Добавить шаблон регулярной задачи на контроль работоспособности WSUS
Community 1 26 / 34	Сканирование внешнего сетевого периметра на наличие уязвимостей Еженедельно Автоматически Техническая Детективная 11.02.2022	11.02.2022	1 26 / 34
Цель: управление техническими уязвимостями Регулярное сканирование всех публичных IP адресов компании сканером уязвимостей. Сканирование проводится из Интернета (из вне инфраструктуры). Варианты реализации Купить соответствующую услугу у компании, занимающейся информационной безопасностью Развернуть собственный экземпляр сканера уязвимостей (или его агент) на внешних, облачных серверах Купить подписку на облачный сканер уязвимостей Воспользоваться бесплатными инструментами Например: Сканер уязвимостей Qualys Community Edition позволяет проводить регулярное полноценное сканирование ограниченного количества публичных IP адресов Результаты сканирования могут загружаться в SECURITM (модуль VM) и обрабатываться в рамках процесса управления техническими уязвимостями. *Рекомендации к заполнению карточки:* Указать название сканера, область и периодичность сканирования. Сканер (актив) привязать к карточке как инструмент Если ведётся реестр публичных адресов - привязать адреса к карточке как инструмент. Если сканирование запускается вручную - создать в карточке шаблон задачи на проведение регулярного сканирования

ГОСТ Р № 57580.1-2017 от 01.01.2018

ЖЦ.21

Похожие требования

Связанные защитные меры