Руслан Рахметов, Security Vision
Продолжаем цикл публикаций, посвященных нормативным требованиям, соотносящимся с использованием систем SGRC. В данной статье рассмотрим законодательство в контексте обеспечения информационной безопасности предприятий – объектов критической информационной инфраструктуры (КИИ).
Федеральный Закон № 187 от 26.07.2017 "О безопасности критической информационной инфраструктуры Российской Федерации"
Статья 8. Реестр значимых объектов критической информационной инфраструктуры.
1. В целях учета значимых объектов критической информационной инфраструктуры федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, ведет реестр значимых объектов критической информационной инфраструктуры в установленном им порядке. В данный реестр вносятся следующие сведения:
…
6) сведения о программных и программно-аппаратных средствах, используемых на значимом объекте критической информационной инфраструктуры;
7) меры, применяемые для обеспечения безопасности значимого объекта критической информационной инфраструктуры.
...
Статья 9. Права и обязанности субъектов критической информационной инфраструктуры
1. Субъекты критической информационной инфраструктуры имеют право:
1) получать от федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, информацию, необходимую для обеспечения безопасности значимых объектов критической информационной инфраструктуры, принадлежащих им на праве собственности, аренды или ином законном основании, в том числе об угрозах безопасности обрабатываемой такими объектами информации и уязвимости программного обеспечения, оборудования и технологий, используемых на таких объектах;
…
Приказ ФСТЭК России № 31 от 14.03.2014 "Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды" (в редакции Приказа ФСТЭК России № 138)
13.3. Определение угроз безопасности информации осуществляется на каждом из уровней автоматизированной системы управления и должно включать:
а) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей;
б) анализ возможных уязвимостей автоматизированной системы и входящих в ее состав программных и программно-аппаратных средств;
в) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации;
г) оценку возможных последствий от реализации (возникновения) угроз безопасности информации, нарушения отдельных свойств безопасности информации (целостности, доступности, конфиденциальности) и автоматизированной системы управления в целом.
В качестве исходных данных при определении угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России…
…
Модель угроз безопасности информации должна содержать описание автоматизированной системы управления и угроз безопасности информации для каждого из уровней автоматизированной системы управления, включающее описание возможностей нарушителей (модель нарушителя), возможных уязвимостей автоматизированной системы управления, способов (сценариев) реализации угроз безопасности информации и последствий от нарушения свойств безопасности информации (доступности, целостности, конфиденциальности) и штатного режима функционирования автоматизированной системы управления.
…
15.7. Анализ уязвимостей автоматизированной системы управления проводится в целях оценки возможности преодоления нарушителем системы защиты автоматизированной системы управления и нарушения безопасного функционирования автоматизированной системы управления за счет реализации угроз безопасности информации.
Анализ уязвимостей автоматизированной системы управления включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения автоматизированной системы управления.
При анализе уязвимостей автоматизированной системы управления проверяется отсутствие уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации, технических средств и программного обеспечения автоматизированной системы управления при их взаимодействии.
По решению заказчика для подтверждения выявленных уязвимостей может проводиться тестирование автоматизированной системы управления на проникновение. Указанное тестирование проводится, как правило, на макете (в тестовой зоне) автоматизированной системы управления.
В случае выявления уязвимостей в автоматизированной системе управления, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность эксплуатации нарушителем выявленных уязвимостей.
…
16. Обеспечение защиты информации в ходе эксплуатации автоматизированной системы управления осуществляется оператором в соответствии с эксплуатационной документацией на систему защиты и организационно-распорядительными документами по защите информации и включает следующие процедуры:
…
периодический анализ угроз безопасности информации в автоматизированной системе управления и рисков от их реализации;
управление (администрирование) системой защиты автоматизированной системы управления;
…
управление конфигурацией автоматизированной системы управления и ее системы защиты;
…
16.4. В ходе анализа угроз безопасности информации в автоматизированной системе управления и возможных рисков от их реализации осуществляются:
периодический анализ уязвимостей автоматизированной системы управления, возникающих в ходе ее эксплуатации;
периодический анализ изменения угроз безопасности информации в автоматизированной системе управления, возникающих в ходе ее эксплуатации;
периодическая оценка последствий от реализации угроз безопасности информации в автоматизированной системе управления (анализ риска).
16.5. В ходе управления (администрирования) системой защиты автоматизированной системы управления осуществляются:
…
управление средствами защиты информации в автоматизированной системе управления, в том числе параметрами настройки программного обеспечения, включая восстановление работоспособности средств защиты информации, генерацию, смену и восстановление паролей;
управление обновлениями программного обеспечения, включая программное обеспечение средств защиты информации, с учетом особенностей функционирования автоматизированной системы управления;
централизованное управление системой защиты автоматизированной системы управления (при необходимости);
…
16.7. В ходе управления конфигурацией автоматизированной системы управления и ее системы защиты осуществляются:
поддержание конфигурации автоматизированной системы управления и ее системы защиты (структуры системы защиты автоматизированной системы управления, состава, мест установки и параметров настройки средств защиты информации, программного обеспечения и технических средств) в соответствии с эксплуатационной документацией на систему защиты (поддержание базовой конфигурации автоматизированной системы управления и ее системы защиты);
..
управление изменениями базовой конфигурации автоматизированной системы управления и ее системы защиты, в том числе определение типов возможных изменений базовой конфигурации автоматизированной системы управления и ее системы защиты, санкционирование внесения изменений в базовую конфигурацию автоматизированной системы управления и ее системы защиты, документирование действий по внесению изменений в базовую конфигурацию автоматизированной системы управления и ее системы защиты, сохранение данных об изменениях базовой конфигурации автоматизированной системы управления и ее системы защиты, контроль действий по внесению изменений в базовую конфигурацию автоматизированной системы управления и ее системы защиты;
анализ потенциального воздействия планируемых изменений в базовой конфигурации автоматизированной системы управления и ее системы защиты на обеспечение ее безопасности, возникновение дополнительных угроз безопасности информации и работоспособность автоматизированной системы управления;
определение параметров настройки программного обеспечения, включая программное обеспечение средств защиты информации, состава и конфигурации технических средств и программного обеспечения до внесения изменений в базовую конфигурацию автоматизированной системы управления и ее системы защиты;
…
Приложение №2 к Приказу ФСТЭК России № 31.
IV. Защита машинных носителей информации (ЗНИ):
ЗНИ.1 - Учет машинных носителей информации
V. Аудит безопасности (АУД):
АУД.1 - Инвентаризация информационных ресурсов
АУД.2 - Анализ уязвимостей и их устранение
XIII. Управление конфигурацией (УКФ):
УКФ.0 - Разработка политики управления конфигурацией информационной (автоматизированной) системы
УКФ.1 - Идентификация объектов управления конфигурацией
УКФ.2 - Управление изменениями
УКФ.4 - Контроль действий по внесению изменений
XIV. Управление обновлениями программного обеспечения (ОПО):
ОПО.0 - Разработка политики управления обновлениями программного обеспечения
ОПО.1 - Поиск, получение обновлений программного обеспечения от доверенного источника
Приказ ФСТЭК России № 235 от 21.12.2017 "Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования" в редакции Приказа ФСТЭК России № 64
10. Руководитель субъекта критической информационной инфраструктуры создает или определяет структурное подразделение, ответственное за обеспечение безопасности значимых объектов критической информационной инфраструктуры (далее - структурное подразделение по безопасности), или назначает отдельных работников, ответственных за обеспечение безопасности значимых объектов критической информационной инфраструктуры (далее - специалисты по безопасности).
Структурное подразделение по безопасности, специалисты по безопасности должны осуществлять следующие функции:
...
проводить анализ угроз безопасности информации в отношении значимых объектов критической информационной инфраструктуры и выявлять уязвимости в них;
...
32. Контроль за выполнением плана мероприятий осуществляется структурным подразделением по безопасности, специалистами по безопасности. Структурное подразделение по безопасности, специалисты по безопасности ежегодно должны готовить отчет о выполнении плана мероприятий, который представляется руководителю субъекта критической информационной инфраструктуры.
…
Приказ ФСТЭК России № 239 от 25.12.2017 "Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации" в редакции Приказов ФСТЭК России № 138, № 60, № 35
11.1. Целью анализа угроз безопасности информации является определение возможных способов реализации (возникновения) угроз безопасности информации и последствий их реализации (возникновения) с учетом состава пользователей и их полномочий, программных и программно-аппаратных средств, взаимосвязей компонентов значимого объекта, взаимодействия с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления, информационно-телекоммуникационными сетями (далее – архитектура значимого объекта), а также особенностей функционирования значимого объекта.
Анализ угроз безопасности информации должен включать:
а) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей;
б) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств;
в) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации;
г) оценку возможных последствий от реализации (возникновения) угроз безопасности информации.
В качестве исходных данных для анализа угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России…
...
12. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, стандартами организаций и включает:
…
е) анализ уязвимостей значимого объекта и принятие мер по их устранению;
…
12.6. Анализ уязвимостей значимого объекта проводится в целях выявления недостатков (слабостей) в подсистеме безопасности значимого объекта и оценки возможности их использования для реализации угроз безопасности информации. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта.
Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта.
При проведении анализа уязвимостей применяются следующие способы их выявления:
…
б) анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта;
в) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля (анализа) защищенности и (или) иных средств защиты информации;
г) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля (анализа) защищенности;
…
13. Обеспечение безопасности в ходе эксплуатации значимого объекта осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией и организационно-распорядительными документами по безопасности значимого объекта и должно включать реализацию следующих мероприятий:
…
б) анализ угроз безопасности информации в значимом объекте и последствий от их реализации;
в) управление (администрирование) подсистемой безопасности значимого объекта;
г) управление конфигурацией значимого объекта и его подсистемой безопасности;
…
13.2. В ходе анализа угроз безопасности информации в значимом объекте и возможных последствий их реализации осуществляются:
а) анализ уязвимостей значимого объекта, возникающих в ходе его эксплуатации;
б) анализ изменения угроз безопасности информации в значимом объекте, возникающих в ходе его эксплуатации;
в) оценка возможных последствий реализации угроз безопасности информации в значимом объекте.
...
13.3. В ходе управления (администрирования) подсистемой безопасности значимого объекта осуществляются:
…
в) управление средствами защиты информации значимого объекта;
г) управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования значимого объекта;
д) централизованное управление подсистемой безопасности значимого объекта (при необходимости);
…
13.4. В ходе управления конфигурацией значимого объекта и его подсистемы безопасности для целей обеспечения его безопасности осуществляются:
…
б) определение компонентов значимого объекта и его подсистемы безопасности, подлежащих изменению в рамках управления конфигурации (идентификация объектов управления конфигурации): программно-аппаратные, программные средства, включая средства защиты информации, их настройки и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;
в) управление изменениями значимого объекта и его подсистемы безопасности: разработка параметров настройки, обеспечивающих безопасность значимого объекта, анализ потенциального воздействия планируемых изменений на обеспечение безопасности значимого объекта, санкционирование внесения изменений в значимый объект и его подсистему безопасности, документирование действий по внесению изменений в значимый объект и сохранение данных об изменениях конфигурации;
…
13.8. В ходе контроля за обеспечением безопасности значимого объекта осуществляются:
а) контроль (анализ) защищенности значимого объекта с учетом особенностей его функционирования;
б) анализ и оценка функционирования значимого объекта и его подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности значимого объекта;
…
Приложение к Приказу ФСТЭК России № 239.
V. Аудит безопасности (АУД):
АУД.1 - Инвентаризация информационных ресурсов
АУД.2 - Анализ уязвимостей и их устранение
АУД.10 - Проведение внутренних аудитов
АУД.11 - Проведение внешних аудитов
XIV. Управление обновлениями программного обеспечения (ОПО):
ОПО.0 - Регламентация правил и процедур управления обновлениями программного обеспечения
ОПО.1 - Поиск, получение обновлений программного обеспечения от доверенного источника
XIII. Управление конфигурацией (УКФ):
УКФ.0 - Регламентация правил и процедур управления конфигурацией информационной (автоматизированной) системы
УКФ.1 - Идентификация объектов управления конфигурацией
УКФ.2 - Управление изменениями
УКФ.4 - Контроль действий по внесению изменений
Приказ ФСБ РФ №196 от 06.05.2019 "Об утверждении Требований к средствам, предназначенным для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты"
IV. Требования к средствам предупреждения
8. Средства предупреждения должны обладать следующими функциями:
сбор и обработка сведений об инфраструктуре контролируемых информационных ресурсов и справочной информации;
сбор и обработка сведений об уязвимостях и недостатках в настройке программного обеспечения (далее - ПО), используемого в контролируемых информационных ресурсах;
формирование рекомендаций по минимизации угроз безопасности информации;
учет угроз безопасности информации.
9. При осуществлении сбора и обработки сведений об инфраструктуре контролируемых информационных ресурсов и справочной информации средства предупреждения должны обеспечивать:
9.1. Сбор и обработку сведений об инфраструктуре контролируемых информационных ресурсов, включающих информацию:
об архитектуре и объектах контролируемых информационных ресурсов (сетевые адреса и имена, наименования и версии используемого ПО);
о выполняющихся на объектах контролируемых информационных ресурсов сетевых службах;
об источниках событий ИБ.
9.2. Сбор и обработку справочной информации:
о показателе доверия (репутации) сетевых адресов, доменных имен, серверов электронной почты, серверов доменных имен;
о владельцах сетевых адресов, доменных имен, серверов электронной почты, серверов доменных имен;
о местоположении и географической принадлежности сетевых адресов;
об известных уязвимостях используемого ПО;
о компьютерных сетях, состоящих из управляемых с использованием вредоносного ПО средств вычислительной техники, включая сведения об их управляющих серверах.
9.3. Возможность добавления, просмотра и изменения сведений об инфраструктуре контролируемых информационных ресурсов и справочной информации.
10. При осуществлении сбора и обработки сведений об уязвимостях и недостатках в настройке ПО, используемого в контролируемых информационных ресурсах, средства предупреждения должны обеспечивать:
сбор данных о дате и времени проведения исследования контролируемых информационных ресурсов;
формирование перечня выявленных уязвимостей и недостатков в настройке используемого ПО (для каждого объекта контролируемого информационного ресурса);
возможность статистической и аналитической обработки полученной информации.
11. Формируемые рекомендации по минимизации угроз безопасности информации должны содержать перечень мер, направленных на устранение уязвимостей и недостатков в настройке ПО, используемого в контролируемых информационных ресурсах.
…
22. К средствам обнаружения, средствам предупреждения и средствам ликвидации последствий предъявляются требования в части реализации визуализации, построения сводных отчетов и хранения информации.
Средства обнаружения, средства предупреждения и средства ликвидации последствий должны обеспечивать:
22.1. Визуализацию в виде таблиц (списков, схем, графиков, диаграмм) сведений:
о событиях ИБ;
об обнаруженных компьютерных инцидентах;
об уязвимостях и недостатках в настройке ПО, используемого в контролируемых информационных ресурсах;
об инфраструктуре контролируемых информационных ресурсов;
хранящихся в базе данных;
содержащих справочную и другую необходимую информацию.
22.2. Построение сводных отчетов путем реализации следующих функций:
создание таблиц (списков, схем, графиков, диаграмм), а также их визуализация на основе полученных данных;
выбор параметров, по которым строятся таблицы (списки, схемы, графики, диаграммы) в отчетах;
экспорт отчетов;
автоматическое формирование отчетов по расписанию, а также их автоматическое направление назначаемым адресатам.
22.3. Хранение загружаемой информации в течение установленного периода времени и постоянный доступ к ней, а также возможность экспорта хранящейся информации, в том числе в исходном виде.
Приказ ФСБ РФ от 19.06.2019 № 282 "Об утверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры Российской Федерации"
Приложение к Приказу ФСБ РФ № 282.
6. Для подготовки к реагированию на компьютерные инциденты и принятию мер по ликвидации последствий компьютерных атак субъектом критической информационной инфраструктуры, которому на праве собственности, аренды или ином законном основании принадлежит значимый объект критической информационной инфраструктуры, в срок до 90 календарных дней со дня включения данного объекта в реестр значимых объектов критической информационной инфраструктуры Российской Федерации разрабатывается план реагирования на компьютерные инциденты и принятия мер по ликвидации последствий компьютерных атак (далее - План), содержащий:
технические характеристики и состав значимых объектов критической информационной инфраструктуры;
события (условия), при наступлении которых начинается реализация предусмотренных Планом мероприятий;
мероприятия, проводимые в ходе реагирования на компьютерные инциденты и принятия мер по ликвидации последствий компьютерных атак, а также время, отводимое на их реализацию;
описание состава подразделений и должностных лиц субъекта критической информационной инфраструктуры, ответственных за проведение мероприятий по реагированию на компьютерные инциденты и принятие мер по ликвидации последствий компьютерных атак.
