Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах

Требования к реализации: При организации сетевого взаимодействия между субъектами доступа (пользователями и приложениями) и объектами доступа посредством API должна обеспечиваться минимизация объема информации, раскрывающей структуру информационной системы, или иной информации, передаваемой посредством API.

В информационной системе должна обеспечиваться минимизация состава информации, возвращаемой в сообщениях об ошибках взаимодействия с API, раскрывающей структуру и особенности функционирования информационной системы или иную конфиденциальную информацию.

Должна обеспечиваться минимизация состава информации, содержащейся в аутентификаторах доступа к API путем исключения данных, раскрывающих структуру информационной системы или иные конфиденциальные сведения.

Требования к документированию: В эксплуатационной документации на информационную систему должны быть определены:

Требования к реализации: В информационной системе должны быть осуществлены:

Требования к реализации: При организации сетевого информационного взаимодействия между субъектами доступа (пользователями и приложениями) и объектами доступа в информационной системе посредством API в информационной системе должна быть определена спецификация API.

В информационной системе должна быть обеспечена возможность автоматической проверки запросов на предмет соответствия формату, структуре и ограничениям, предусмотренным разработанной спецификацией API. В информационной системе должно быть определено множество правил, описывающих виды запросов, не соответствующих спецификации API, подлежащие автоматическому блокированию средствами защиты информации до момента оказания запросом воздействия на приложение, доступное посредством API.

В информационной системе должен быть осуществлен пересмотр перечня и спецификации API на предмет выявления недокументированных, устаревших и неиспользуемых API и ресурсов, доступных внешним пользователям информационной системы посредством данных API, ежегодно или при изменении API.

В информационной системе должна осуществляться проверка поступающих к API запросов на соответствие формату, структуре и ограничениям, и блокировка запросов, не соответствующих спецификации API.

1. в информационной системе должен быть осуществлен пересмотр перечня и спецификации API при изменении кода или конфигурации приложений, реализующих данные API;

2. должен обеспечиваться автоматический анализ трафика сетевого информационного взаимодействия между внешними субъектами доступа и внешними API информационной системы на предмет выявления недокументированных, устаревших и неиспользуемых API и ресурсов, доступных внешним пользователям информационной системы посредством данных API.