ГОСТ Р № 59547-2021 от 01.04.2022

5.1 При осуществлении мониторинга ИБ должна обеспечиваться возможность получения информации о зарегистрированных событиях безопасности и иных данных, необходимых для мониторинга ИБ, от различных источников, таких как средства ЗИ, ПО, программно-технические средства, информационные сервисы, среда функционирования информационных (автоматизированных) систем, работники (сотрудники) оператора информационных (автоматизированных) систем и иные источники данных.

5.2 В рамках мероприятий по мониторингу информационной безопасности в информационной (автоматизированной) системе должны быть решены следующие задачи: 
в части мероприятий контроля за событиями безопасности и действиями пользователей в информационной (автоматизированной) системе: 

в части мероприятий контроля (анализа) защищенности информации, содержащейся в информационной (автоматизированной) системе: 

в части мероприятий анализа и оценки функционирования системы защиты информации информационной (автоматизированной) системы: 

в части мероприятий периодического анализа изменения угроз безопасности информации в информационной (автоматизированной) системе, возникающих в ходе ее эксплуатации: 

5.5 На каждом из перечисленных уровней должна быть обеспечена возможность реализации следующих свойств: 

5.6 При осуществлении мониторинга информационной безопасности должны обеспечиваться: 

6.1.1 При осуществлении мониторинга информационной безопасности данные о событиях безопасности и нарушениях безопасности информации могут собираться с использованием автоматизированных средств. Источниками данных мониторинга информационной безопасности выступают: 

6.1.2 При определении перечня источников данных следует учитывать необходимость получения следующей информации:
- данных о событиях безопасности от средств, осуществляющих регистрацию событий безопасности в информационной (автоматизированной) системе (источников событий безопасности);
- данных о результатах выявления (поиска) уязвимостей в информационной (автоматизированной) системе, в том числе: 

- данных о результатах контроля установки обновлений программного обеспечения, в том числе: 

- данных о результатах контроля состава технических средств, программного обеспечения и средств защиты информации, применяемых в информационной (автоматизированной) системе (инвентаризационных данных), включая: 

- данных о результатах контроля соответствия настроек программного обеспечения и средств защиты информации установленным требованиям безопасности (политикам безопасности);
- данных о работоспособности (неотключении) программного обеспечения и средств защиты информации; - данных о результатах контроля потоков информации, включая: 

- данных о действиях пользователей, необходимых для выявления преднамеренного или непреднамеренного нарушения установленных политик безопасности, регламентов работы, фактов непроизводственной деятельности, попыток совершения несанкционированного доступа и утечки конфиденциальной информации, включая: 

 6.1.3 Выбираемые источники данных должны обеспечивать:
- передачу данных мониторинга информационной безопасности (при наличии технической возможности) и возможность настройки состава передаваемых данных (предварительная фильтрация);
- предоставление справочников, содержащих описание идентификаторов отдельных типов данных (если справочники используются источником); 
- предоставление данных мониторинга информационной безопасности с описанием полей регистрируемых событий безопасности для последующей их интерпретации;
- предоставление данных мониторинга информационной безопасности по уровню важности событий, которые могут использоваться для обеспечения фильтрации событий;
- временное накопление событий безопасности при отсутствии связи и их передачу при появлении связи с объектом назначения передачи данных мониторинга информационной безопасности. 

6.1.4 Источники данных о событиях безопасности должны выбираться с учетом необходимости обеспечения возможности предоставления доступа к данным о событиях безопасности одним из следующих способов:
- предоставление источником данных доступа к файлам или базам данных журналов событий безопасности;
- выгрузка данных о событиях безопасности с использованием стандартных протоколов передачи данных;
- предоставление источником данных доступа к данным о событиях безопасности через программный интерфейс приложения или веб-сервис источника. 

6.1.5 Для источников данных оператором должна быть обеспечена достоверность передаваемых ими данных о дате и времени регистрации событий безопасности, и, при необходимости, синхронизация их системных часов с учетом часовых поясов их расположения. 

6.2.1 При осуществлении мониторинга информационной безопасности должен быть обеспечен сбор исходных данных в объеме, необходимом для проведения анализа и различного рода оценок состояния информационной безопасности элементов информационной (автоматизированной) системы. 

 6.2.2 При использовании автоматизированных средств мониторинга для получения исходных данных могут использоваться:
- агентный сбор данных (агенты мониторинга событий безопасности);
- безагентный сбор данных;
- опросные листы (формы);
- инструментальные средства. 

6.2.7 Сбор данных о событиях безопасности с использованием опросных листов (форм) осуществляется путем заполнения специальных электронных (бумажных) форм с последующей их передачей персоналу, осуществляющему мониторинг информационной безопасности. 

6.2.8 Сбор данных с использованием опросных листов (форм) включает:
- разработку формы опросного листа (формы), содержащего перечень необходимых данных с необходимым количеством полей;
- разработку регламента сбора и передачи данных о событиях безопасности персоналу, осуществляющему мониторинг информационной безопасности;
- внедрение опросного листа (формы) оператором информационной (автоматизированной) системы;
- регистрацию в опросных листах (формах) необходимых данных и последующую их передачу персоналу, осуществляющему мониторинг информационной безопасности. 

6.2.11 С использованием опросных листов (форм) передаются данные мониторинга информационной безопасности, которые невозможно передать каким-либо иным способом. 

6.2.14 Для типов событий безопасности, определенных в ГОСТ Р «Защита информации. Регистрация событий безопасности. Требования к регистрируемой информации», мероприятия по мониторингу информационной безопасности должны обеспечивать возможность получения регистрируемой информации, требования к составу которой определены в указанном национальном стандарте 

6.2.16 Мероприятия по мониторингу информационной безопасности должны обеспечивать возможность фильтрации получаемых данных о событиях безопасности по уровню важности для обеспечения оперативной интеграции источников данных о событиях безопасности в процесс мониторинга информационной безопасности и, при необходимости, по другим основаниям в соответствии с определенными правилами мониторинга информационной безопасности. 
П р и м е ч а н и е – фильтрация получаемых данных о событиях безопасности может также осуществляться на уровне хранения, агрегации и обработки данных мониторинга. 

6.3.1 Мероприятия по мониторингу информационной безопасности должны обеспечивать хранение данные, собираемых от источников, и результаты их обработки. 

6.3.2 Сроки и формат хранения данных о событиях безопасности должны обеспечивать возможность выявления и анализа нарушений безопасности информации, возникших в информационной (автоматизированной) системе. 

6.3.3 В рамках мероприятий по мониторингу информационной безопасности должны быть реализованы следующие функции: 
- нормализация полученных данных к формату, необходимому для дальнейшей их обработки и хранения; 
- агрегация данных (объединение нормализованных данных по группам на основе общих признаков);
- хранение агрегированных данных в течение срока хранения, определенного требованиями по защите информации, предъявляемыми к информационной (автоматизированной) системе;
- корреляция событий безопасности с целью выявления нарушений безопасности информации (определение и анализ причинно-следственных связей между событиями безопасности с учетом информации, полученной от нескольких источников);
- сопоставление событий безопасности с потоками данных об угрозах, содержащих индикаторы компрометации;
- сопоставление результатов регистрации событий безопасности с результатами анализа уязвимостей;
- выявление нарушений безопасности информации в информационной (автоматизированной) системе при осуществлении контроля за событиями безопасности и действиями пользователей. 

6.3.5 В рамках мероприятий по мониторингу информационной безопасности должны быть реализованы следующие меры, направленные на предотвращение потери данных мониторинга в случаях переполнения объема (емкости) памяти, выделенной для их хранения: 
- предупреждение (сигнализация, индикация) администратора при заполнении установленной части (процент или фактическое значение) объема памяти для хранения данных мониторинга;
- запись новых данных мониторинга информационной безопасности поверх устаревших данных;
- архивирование (резервное копирование) данных мониторинга информационной безопасности на съемные носители информации, в сеть хранения данных, на специализированные устройства или на выделенные серверы; 

6.3.6 С целью обеспечения возможности адаптации к новым типам угроз и их развивающимся методам в рамках мероприятий по мониторингу информационной безопасности должна обеспечиваться возможность создания и редактирования правил корреляции событий безопасности, а также периодическая оценка сотрудниками оператора актуальности новых угроз безопасности информации для информационной (автоматизированной) системы. 

6.4.1 В рамках мероприятий по мониторингу информационной безопасности должна обеспечиваться возможность представления персоналу оператора информационной (автоматизированной) системы следующих данных о результатах мониторинга информационной безопасности:
- данные о событиях безопасности от различных источников в информационной (автоматизированной) системе;
- результаты корреляции событий безопасности;
- результаты сопоставления событий безопасности с потоками данных об угрозах, содержащих индикаторы компрометации;
- результаты контроля, учета и статистического анализа действий пользователей и администраторов информационной (автоматизированной) системы;
- результаты сопоставления событий безопасности с результатами анализа уязвимостей;
- результаты выявления нарушений безопасности информации в информационной (автоматизированной) системе при осуществлении контроля за событиями безопасности и действиями пользователей;
- результаты выявления (поиска) уязвимостей в информационной (автоматизированной) системе; 
- результаты контроля установки обновлений программного обеспечения, включая программное обеспечение средств защиты информации;
- результаты контроля состава технических средств, программного обеспечения и средств защиты информации, применяемых в информационной (автоматизированной) системе (инвентаризация);
- результаты контроля соответствия настроек программного обеспечения и средств защиты информации установленным требованиям безопасности (политикам безопасности);
- результаты контроля потоков информации; 
- результаты контроля работоспособности (неотключении) программного обеспечения и средств защиты информации;
- результаты проверки соответствия среды функционирования требованиям, предъявленным в документации на средства защиты информации;
- результаты получения данных о новых угрозах безопасности информации из доступных источников, содержащих сведения об уязвимостях и угрозах безопасности информации. 

6.4.2 В рамках мероприятий по мониторингу информационной безопасности должна предоставляться возможность формирования следующих отчетов о результатах мониторинга информационной безопасности: 
- статистические отчеты по собранным данным о событиях безопасности информации; 
- отчеты о нарушениях безопасности информации, выявленных при обработке событий безопасности информации (корреляции событий безопасности, сопоставлении событий безопасности с потоками данных об угрозах и с результатами анализа уязвимостей, анализе действий пользователей и администраторов); 
- отчеты о показателях реагирования на выявленные нарушения информационной безопасности персоналом оператора информационной (автоматизированной) системы; 
- отчеты с описанием выявленных уязвимостей и рекомендаций по их устранению;
- отчеты с собранными инвентаризационными данными; 
- отчеты о результатах контроля соответствия настроек программного обеспечения и средств защиты информации установленным требованиям безопасности (политикам безопасности); 
- отчеты о состоянии источников событий безопасности и данных. 

6.4.3 На уровне представления данных мониторинга информационной безопасности должны обеспечиваться следующие условия:
- управление параметрами мониторинга и представления данных мониторинга контролируемых элементов информационной (автоматизированной) системы, в том числе (при необходимости) с привязкой к объектам мониторинга;
- представление данных об элементах информационной (автоматизированной) системы, их состоянии и связях между ними; 
- представление данных мониторинга информационной безопасности в режиме времени, близком к реальному; 
- представление данных мониторинга информационной безопасности в соответствии с условиями выборки по установленным параметрам (запросами); 
- представление данных мониторинга информационной безопасности как в текстовом, так и в графическом виде. 

6.4.4 В рамках мероприятий по мониторингу информационной безопасности должно обеспечиваться информирование ответственных лиц о выявленных нарушениях безопасности информации, о результатах поиска уязвимостей, контроля установки обновлений программного обеспечения и контроля состава технических средств, о неисправностях программного обеспечения и средств защиты информации, сбоях и отказах в функционировании программно-технических средств информационной (автоматизированной) системы. Информирование ответственных лиц может осуществляться путем отправки уведомлений по электронной почте, запуска внешнего приложения, используемого для оповещения, отображения сведений о событии безопасности в интерфейсе ПО, применяемого для мониторинга информационной безопасности и иными способами. В рамках мероприятий по мониторингу информационной безопасности должна быть предусмотрена возможность настройки оповещений (повторные оповещения, отсроченные оповещения, расширение перечня адресатов оповещений). 

6.5.1 Мониторинг информационной безопасности информационной (автоматизированной) системы должен проводиться для всех событий, подлежащих регистрации, с периодичностью, установленной оператором информационной (автоматизированной) системы, и обеспечивающей своевременное выявление признаков нарушений безопасности информации в информационной (автоматизированной) системе. 

6.5.4 Для осуществления мероприятий по мониторингу информационной безопасности должно быть обеспечено наличие штатных обученных категорий персонала (ответственных лиц, дежурных смен), основной деятельностью которых является постоянный мониторинг информационной безопасности. Выделяют следующие роли для персонала мониторинга информационной безопасности и их функции: 
- руководитель – выполняет функции, связанные с управлением персоналом, обеспечивающим функционирование процесса мониторинга информационной безопасности; 
- системный администратор – выполняет функции, связанные с обеспечением работоспособности программных и аппаратных компонентов, применяемых для мониторинга информационной безопасности, разработкой запросов на представление информации, а также развитием форм представления и визуализации информации; 
- администратор безопасности – выполняет функции, связанные с организацией настройки параметров функционирования программных и аппаратных компонентов, применяемых для мониторинга информационной безопасности; 
- специалист по взаимодействию с персоналом и пользователями – выполняет функции, связанные с приемом и регистрацией сообщений персонала и пользователей о выявленных нарушениях безопасности информации; 
- оператор – выполняет функции, связанные с анализом результатов мониторинга информационной безопасности (событий безопасности) и подготовкой аналитической информации; 
- специалист по оценке защищенности – выполняет функции, связанные с: 
контролем состава технических средств, программного обеспечения и средств защиты информации, применяемых в информационной (автоматизированной) системе (инвентаризация данных); выявлением угроз безопасности информации и уязвимостей информационных (автоматизированных) систем; контролем соответствия настроек программного обеспечения и средств защиты информации установленным требованиям безопасности (политикам безопасности); развитием методов и инструментальных средств сбора данных; 
- аналитик – выполняет функции, связанные с анализом результатов мониторинга информационной безопасности (событий безопасности) и разработкой правил агрегации и корреляции событий безопасности и определением критериев нарушений безопасности. По решению оператора на одно должностное лицо могут быть возложены функции, относящиеся к разным ролям персонала мониторинга информационной безопасности 

6.5.5 Обработка и анализ поступающих данных мониторинга информационной безопасности должны предусматривать не только автоматическую регистрацию различных нарушений безопасности информации по заранее заданным правилам корреляции, но и анализ полученных данных персоналом, осуществляющим мониторинг информационной безопасности, с целью корректировки существующих правил корреляции и параметров настройки данных правил (изменение временных и количественных пороговых значений и (или) добавление (удаление) дополнительных условий с целью повышения эффективности правил или снижения количества ложных срабатываний, подключение дополнительных источников для получения недостающих исходных данных) и разработки новых правил корреляции. 

6.5.6 В рамках мероприятий по мониторингу информационной безопасности может быть принято решение о создании единого координирующего центра мониторинга (ситуационного центра мониторинга информационной безопасности), позволяющего контролировать качество организации, непрерывность и результативность процессов мониторинга информационной безопасности в различных аспектах, в том числе:
- полноту охвата мониторинга (в первую очередь, с точки зрения состава вовлеченных в мониторинг средств - источников событий и исходных данных); 
- состав правил корреляции событий безопасности и критериев нарушений безопасности; 
- контроль работоспособности всех компонент, участвующих в мониторинге информационной безопасности. 

6.5.8 Развитие мероприятий по мониторингу информационной безопасности должно предусматривать постепенный переход от реактивного подхода при выявлении угроз и нарушений безопасности информации, когда ведется поиск ответных мер на выявленную угрозу и (или) нарушение безопасности информации, к проактивному подходу, при котором в процессе мониторинга информационной безопасности выявляются предпосылки для реализации угроз и нарушений безопасности информации с целью реализации предупреждающих и профилактических мер предотвращения угроз и нарушений безопасности информации. 

6.6.1 В рамках мероприятий по мониторингу информационной безопасности должна обеспечиваться защита получаемых и содержащихся данных мониторинга от неправомерного доступа, уничтожения или модифицирования. 

6.6.2 Для защиты данных мониторинга в рамках мероприятий по мониторингу информационной безопасности должны быть реализованы следующие функции безопасности: 
- идентификация и аутентификация пользователей при осуществлении доступа к программным и аппаратным компонентам, применяемым для мониторинга информационной безопасности: 
- управление идентификаторами пользователей при осуществлении доступа к программным и аппаратным компонентам, применяемым для мониторинга информационной безопасности; 
- управление аутентификаторами (аутентификационной информацией) пользователей при осуществлении доступа к программным и аппаратным компонентам, применяемым для мониторинга информационной безопасности;
- управление учетными записями пользователей;
- защита аутентификационной информации в процессе ее ввода для аутентификации от возможного использования лицами, не имеющими на это полномочий; 
- управление доступом пользователей к функциям и данным мониторинга информационной безопасности; 
П р и м е ч а н и е – Для управления доступом пользователей мониторинга информационной безопасности к функциям мониторинга должен быть реализован ролевой метод управления доступом, а для управления доступом пользователей мониторинга информационной безопасности к данным мониторинга ролевой и (или) дискреционный метод управления доступом.
- ограничение неуспешных попыток доступа к программным и аппаратным компонентам, применяемым для мониторинга информационной безопасности; - регистрация действий пользователей при осуществлении доступа к программным и аппаратным компонентам, применяемым для мониторинга информационной безопасности; 
П р и м е ч а н и е – В процессе мониторинга информационной безопасности должны, как минимум, регистрироваться следующие типы событий безопасности, установленные в ГОСТ Р «Защита информации. Регистрация событий безопасности. Требования к регистрируемой информации»: попытки идентификации и аутентификации субъекта доступа; 
управление учетными записями пользователей; 
управление средствами аутентификации; 
управление атрибутами доступа; 
попытки доступа к защищаемой информации; 
управление (администрирование) функциями безопасности; 
действия по управлению журналами (записями) регистрации событий безопасности. 
- защита от несанкционированного изменения данных аудита программных и аппаратных компонентов, применяемых для мониторинга информационной безопасности; 
- оповещение администратора мониторинга информационной безопасности о потенциально опасных действиях пользователей, осуществляющих доступ к программным и аппаратным компонентам, применяемым для мониторинга информационной безопасности. 

6.6.3 Защита данных мониторинга информационной безопасности осуществляется исходя из классов защищенности (категорий значимости, уровней защищенности информации) информационных (автоматизированных) систем, для которых планируется осуществлять мониторинг информационной безопасности.