Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах

Методическая документация ФСТЭК

ЗВТ.1 Защита пользовательских данных

Для проведения оценки соответствия по документу войдите в систему.

Список требований

4. Меры по защите информационных систем и содержащейся в них информации
4.7. Защита веб-технологий (ЗВТ)
ЗВТ.1 Защита пользовательских данных
Цель: Обеспечение защиты пользовательских данных, передаваемых, обрабатываемых и хранящихся в составе веб-приложения.
Требования к реализации: Сетевое информационное взаимодействие между субъектами доступа и объектами доступа (пользователями и приложениями) должно осуществляться посредством программного интерфейса приложений, защита данных в котором обеспечивается в соответствии с мерой защиты информации ЗПИ.1.
Доступ субъектов доступа к пользовательским данным, хранящимся в веб-приложении, а также доступ к функциям веб-приложения должен осуществляться в соответствии с мерой защиты информации УПД.2.
Сетевое взаимодействие между субъектами и объектами доступа (пользователями и приложениями) должно осуществляться с учетом мер защиты информации ЗКС.1 ‒ ЗКС.5.
Требования к документированию: В эксплуатационной документации на информационную систему должны быть определены:
объекты доступа, содержащиеся в веб-приложении;
перечень типов пользователей веб-приложения.
Требования к усилению:
1. в информационной системе должно быть исключено кэширование пользовательских данных, определяемых оператором, в веб-браузере (например, путем использования соответствующих директив заголовков Cache-Control, Pragma протокола передачи гипертекста);
2. в информационной системе должны быть отключены функции автоматического заполнения форм (например, путем установления соответствующего значения атрибута Autocomplete протокола передачи гипертекста) для полей, предназначенных для ввода пользовательских данных, определяемых оператором;
3. в информационной системе должна обеспечиваться защита пользовательских данных от компрометации посредством межсайтового скриптинга путем настойки соответствующих заголовков безопасности протокола передачи гипертекста;
4. в информационной системе должна обеспечиваться защита пользовательских данных от компрометации посредством подмены (перекрытия) элементов графического интерфейса путем контроля вложенности контекстов отображения.
Реализация в информационной системе:
ЗВТ.1
К3 + К2 + К1 +
Усиление ЗВТ.1
К3 К2 К1

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.