Приказ ФСТЭК России от 09.08.2018 № 138 · О внесении изменений в Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных о… · https://zakonbaza.com/prikaz-fstek-2018-08-09-138/

Приказ ФСТЭК России от 09.08.2018 № 138

О внесении изменений в Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных о…

Действует 🔔 Следить в Telegram

Приказ Федеральной службы по техническому и экспортному контролю от 09.08.2018 № 138 "О внесении изменений в Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 14 марта 2014 г. № 31, и в Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. № 239"

Текст — по данным ИПС «Законодательство России». Проверено 18.09.2026 00:05. Скачать .doc · Печать

Приложения: Приложение

ФЕДЕРАЛЬНАЯ СЛУЖБА ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ#❝

ПРИКАЗ#❝

Москва#❝

9 августа 2018 г. № 138#❝

О внесении изменений в Требования к обеспечению защиты#❝

информации в автоматизированных системах управления#❝

производственными и технологическими процессами на#❝

критически важных объектах, потенциально опасных#❝

объектах, а также объектах, представляющих повышенную#❝

опасность для жизни и здоровья людей и для окружающей#❝

природной среды, утвержденные приказом Федеральной службы#❝

по техническому и экспортному контролю от 14 марта#❝

2014 г. № 31, и в Требования по обеспечению безопасности#❝

значимых объектов критической информационной#❝

инфраструктуры Российской Федерации, утвержденные#❝

приказом Федеральной службы по техническому и экспортному#❝

контролю от 25 декабря 2017 г. № 239#❝

Зарегистрирован Минюстом России 5 сентября 2018 г.#❝

Регистрационный № 52071#❝

Внести в Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 14 марта 2014 г. № 31 (зарегистрирован Министерством юстиции Российской Федерации 30 июня 2014 г., регистрационный № 32919) (с изменениями, внесёнными приказом Федеральной службы по техническому и экспортному контролю от 23 марта 2017 г. № 49 (зарегистрирован Министерством юстиции Российской Федерации 25 апреля 2017 г., регистрационный № 46487), и в Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденные приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. № 239 (зарегистрирован Министерством юстиции Российской Федерации 26 марта 2018 г., регистрационный № 50524) изменения согласно приложению к настоящему приказу.#❝

ДИРЕКТОР ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО#❝

ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ В.СЕЛИН#❝

_____________

Приложение#❝

к приказу ФСТЭК России#❝

9 августа 2018 г. № 138#❝

Изменения, которые вносятся в Требования к обеспечению#❝

защиты информации в автоматизированных системах#❝

управления производственными и технологическими#❝

процессами на критически важных объектах, потенциально#❝

опасных объектах, а также объектах, представляющих#❝

повышенную опасность для жизни и здоровья людей и для#❝

окружающей природной среды, утвержденные приказом#❝

Федеральной службы по техническому и экспортному контролю#❝

от 14 марта 2014 г. № 31, и в Требования по обеспечению#❝

безопасности значимых объектов критической информационной#❝

инфраструктуры Российской Федерации, утвержденные#❝

приказом Федеральной службы по техническому и экспортному#❝

контролю от 25 декабря 2017 г. № 239#❝

1. В Требованиях к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды, утвержденных приказом Федеральной службы по техническому и экспортному контролю от 14 марта 2014 г. № 31:#❝

1) пункт 1 после абзаца первого дополнить абзацем следующего содержания:#❝

"Обеспечение безопасности автоматизированных систем управления, являющихся значимыми объектами критической информационной инфраструктуры Российской Федерации, осуществляется в соответствии с Требованиями по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденными приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. № 239, а также Требованиями к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования, утвержденными приказом Федеральной службы по техническому и экспортному контролю от 21 декабря 2017 г. № 235 (зарегистрирован Минюстом России 22 февраля 2018 г., регистрационный № 50118).";#❝

2) абзацы первый - четвертый подпункта 13.3 пункта 13 изложить в следующей редакции:#❝

"13.3. Определение угроз безопасности информации осуществляется на каждом из уровней автоматизированной системы управления и должно включать:#❝

а) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей;#❝

б) анализ возможных уязвимостей автоматизированной системы и входящих в ее состав программных и программно-аппаратных средств;#❝

в) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации;#❝

г) оценку возможных последствий от реализации (возникновения) угроз безопасности информации, нарушения отдельных свойств безопасности информации (целостности, доступности, конфиденциальности) и автоматизированной системы управления в целом.#❝

В качестве исходных данных при определении угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085 (Собрание законодательства Российской Федерации, 2004, № 34, ст. 3541; 2006, № 49, ст. 5192; 2008, № 43, ст. 4921; № 47, ст. 5431; 2012, № 7, ст. 818; 2013, № 26, ст. 3314; № 52, ст. 7137; 2014, № 36, ст. 4833; № 44, ст. 6041; № 4, ст. 641; 2016, № 1, ст. 211; 2017, № 48, ст. 7198; 2018, № 20, ст. 2818), а также иные источники, содержащие сведения об уязвимостях и угрозах безопасности информации.";#❝

3) в подпункте 15.3 пункта 15:#❝

после абзаца второго дополнить абзацем следующего содержания:#❝

"определение администратора безопасности информации;";#❝

в абзаце четвертом после слов "персонала автоматизированной системы управления" дополнить словами "и администратора безопасности информации";#❝

4) пункт 18 изложить в следующей редакции:#❝

"18. Организационные и технические меры защиты информации, реализуемые в автоматизированной системе управления в рамках ее системы защиты, в зависимости от класса защищенности, угроз безопасности информации, используемых технологий и структурно-функциональных характеристик автоматизированной системы управления и особенностей ее функционирования должны обеспечивать:#❝

идентификацию и аутентификацию (ИАФ);#❝

управление доступом (УПД);#❝

ограничение программной среды (ОПС);#❝

защиту машинных носителей информации (ЗНИ);#❝

аудит безопасности (АУД);#❝

антивирусную защиту (АВЗ);#❝

предотвращение вторжений (компьютерных атак) (СОВ);#❝

обеспечение целостности (ОЦЛ);#❝

обеспечение доступности (ОДТ);#❝

защиту технических средств и систем (ЗТС);#❝

защиту информационной (автоматизированной) системы и ее компонентов (ЗИС);#❝

реагирование на компьютерные инциденты (ИНЦ);#❝

управление конфигурацией (УКФ);#❝

управление обновлениями программного обеспечения (ОПО);#❝

планирование мероприятий по обеспечению безопасности (ПЛН);#❝

обеспечение действий в нештатных ситуациях (ДНС);#❝

информирование и обучение персонала (ИПО).#❝

Состав мер защиты информации и их базовые наборы для соответствующих классов защищенности автоматизированных систем управления приведены в приложении № 2 к настоящим Требованиям.#❝

Содержание мер и правила их реализации устанавливаются методическим документом, разработанным ФСТЭК России в соответствии с пунктом 5 и подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.";#❝

5) подпункты 18.1 - 18.21 пункта 18 признать утратившими силу.#❝

6) приложение № 2 к указанным Требованиям изложить в следующей редакции:#❝

"Приложение № 2#❝

к Требованиям к обеспечению защиты#❝

информации в автоматизированных#❝

системах управления производственными#❝

и технологическими процессами#❝

на критически важных объектах,#❝

потенциально опасных объектах,#❝

а также объектах, представляющих#❝

повышенную опасность для#❝

жизни и здоровья людей#❝

и для окружающей природной среды#❝

Состав мер защиты информации#❝

и их базовые наборы для соответствующего класса#❝

защищенности автоматизированной системы управления#❝

|--------|--------------------------------------|------------------|
|Условное|       Меры защиты информации в       |      Классы      |
|обозна- |автоматизированных системах управления|   защищенности   |
|чение и |                                      |автоматизированной|
|  номер |                                      |системы управления|
|  меры  |                                      |                  |
|        |                                      |-----|-----|------|
|        |                                      |  3  |  2  |   1  |
|--------|--------------------------------------|-----|-----|------|
|             I. Идентификация и аутентификация (ИАФ)              |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.0 | Разработка политики идентификации и  |  +  |  +  |  +   |
|        |            аутентификации            |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.1 |    Идентификация и аутентификация    |  +  |  +  |  +   |
|        |   пользователей и инициируемых ими   |     |     |      |
|        |              процессов               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.2 |    Идентификация и аутентификация    |  +  |  +  |  +   |
|        |              устройств               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.3 |     Управление идентификаторами      |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.4 | Управление средствами аутентификации |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.5 |Идентификация и аутентификация внешних|  +  |  +  |  +   |
|        |            пользователей             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.6 |     Двусторонняя аутентификация      |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  ИАФ.7 | Защита аутентификационной информации |  +  |  +  |  +   |
|        |             при передаче             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|                  II. Управление доступом (УПД)                   |
|--------|--------------------------------------|-----|-----|------|
|  УПД.0 |    Разработка политики управления    |  +  |  +  |  +   |
|        |               доступом               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.1 |     Управление учетными записями     |  +  |  +  |  +   |
|        |            пользователей             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.2 |Реализация политик управления доступа |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  УПД.3 |         Доверенная загрузка          |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  УПД.4 |    Разделение полномочий (ролей)     |  +  |  +  |  +   |
|        |            пользователей             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.5 |Назначение минимально необходимых прав|  +  |  +  |  +   |
|        |             и привилегий             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.6 |Ограничение неуспешных попыток доступа|  +  |  +  |  +   |
|        |в информационную (автоматизированную) |     |     |      |
|        |               систему                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.7 | Предупреждение пользователя при его  |     |     |      |
|        |  доступе к информационным ресурсам   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.8 | Оповещение пользователя при успешном |     |     |  +   |
|        |      входе предыдущем доступе к      |     |     |      |
|        | информационной (автоматизированной)  |     |     |      |
|        |               системе                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  УПД.9 |Ограничение числа параллельных сеансов|     |     |  +   |
|        |               доступа                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.10 |     Блокирование сеанса доступа      |  +  |  +  |  +   |
|        |    пользователя при неактивности     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.11 |Управление действиями пользователей до|  +  |  +  |  +   |
|        |    идентификации и аутентификации    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.12 |  Управление атрибутами безопасности  |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.13 |  Реализация защищенного удаленного   |  +  |  +  |  +   |
|        |               доступа                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УПД.14 |     Контроль доступа из внешних      |  +  |  +  |  +   |
|        | информационных (автоматизированных)  |     |     |      |
|        |                систем                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|             III. Ограничение программной среды (ОПС)             |
|--------|--------------------------------------|-----|-----|------|
| ОПС.0  |   Разработка политики ограничения    |     |  +  |  +   |
|        |          программной среды           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПС.1  |  Управление запуском (обращениями)   |     |     |  +   |
|        | компонентов программного обеспечения |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПС.2  | Управление установкой (инсталляцией) |     |  +  |  +   |
|        | компонентов программного обеспечения |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПС.3  |    Управление временными файлами     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|          IV. Защита машинных носителей информации (ЗНИ)          |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.0  | Разработка политики защиты машинных  |  +  |  +  |  +   |
|        |         носителей информации         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.1  |  Учет машинных носителей информации  |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.2  |   Управление физическим доступом к   |  +  |  +  |  +   |
|        |    машинным носителям информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.3  |    Контроль перемещения машинных     |     |     |      |
|        |   носителей информации за пределы    |     |     |      |
|        |         контролируемой зоны          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.4  |        Исключение возможности        |     |     |      |
|        |несанкционированного чтения информации|     |     |      |
|        |   на машинных носителях информации   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.5  |  Контроль использования интерфейсов  |  +  |  +  |  +   |
|        |ввода (вывода) информации на машинные |     |     |      |
|        |         носители информации          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.6  |Контроль ввода (вывода) информации на |     |     |  +   |
|        |     машинные носители информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.7  |    Контроль подключения машинных     |  +  |  +  |  +   |
|        |         носителей информации         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗНИ.8  | Уничтожение (стирание) информации на |  +  |  +  |  +   |
|        |    машинных носителях информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|                   V. Аудит безопасности (АУД)                    |
|--------|--------------------------------------|-----|-----|------|
| АУД.0  |      Разработка политики аудита      |  +  |  +  |  +   |
|        |             безопасности             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| АУД.1  |Инвентаризация информационных ресурсов|  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.2  |  Анализ уязвимостей и их устранение  |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.3  |Генерирование временных меток и (или) |  +  |  +  |  +   |
|        |   синхронизация системного времени   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| АУД.4  |   Регистрация событий безопасности   |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.5  |  Контроль и анализ сетевого трафика  |     |     |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.6  |     Защита информации о событиях     |  +  |  +  |  +   |
|        |             безопасности             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| АУД.7  |       Мониторинг безопасности        |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.8  | Реагирование на сбои при регистрации |  +  |  +  |  +   |
|        |         событий безопасности         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| АУД.9  |    Анализ действий пользователей     |     |     |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.10 |    Проведение внутренних аудитов     |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| АУД.11 |      Проведение внешних аудитов      |     |     |  +   |
|--------|--------------------------------------|-----|-----|------|
|                  VI. Антивирусная защита (АВЗ)                   |
|--------|--------------------------------------|-----|-----|------|
|  АВЗ.0 |   Разработка политики антивирусной   |  +  |  +  |  +   |
|        |                защиты                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  АВ3.1 |    Реализация антивирусной защиты    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|  АВ3.2 |Антивирусная защита электронной почты |  +  |  +  |  +   |
|        |           и иных сервисов            |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  АВЗ.3 |   Контроль использования архивных,   |     |     |  +   |
|        |  исполняемых и зашифрованных файлов  |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  АВ3.4 |   Обновление базы данных признаков   |  +  |  +  |  +   |
|        |  вредоносных компьютерных программ   |     |     |      |
|        |              (вирусов)               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  АВ3.5 |  Использование средств антивирусной  |     |     |  +   |
|        |   защиты различных производителей    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|     VII. Предотвращение вторжений (компьютерных атак) (СОВ)      |
|--------|--------------------------------------|-----|-----|------|
|  СОВ.0 |  Разработка политики предотвращения  |     |  +  |  +   |
|        |    вторжений (компьютерных атак)     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  СОВ.1 |     Обнаружение и предотвращение     |     |  +  |  +   |
|        |          компьютерных атак           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  СОВ.2 |   Обновление базы решающих правил    |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
|               VIII. Обеспечение целостности (ОЦЛ)                |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.0  |   Разработка политики обеспечения    |  +  |  +  |  +   |
|        |             целостности              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.1  |  Контроль целостности программного   |  +  |  +  |  +   |
|        |             обеспечения              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.2  |   Контроль целостности информации    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.3  |  Ограничения по вводу информации в   |     |     |  +   |
|        | информационную (автоматизированную)  |     |     |      |
|        |               систему                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.4  |     Контроль данных, вводимых в      |     |  +  |  +   |
|        | информационную (автоматизированную)  |     |     |      |
|        |               систему                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.5  |     Контроль ошибочных действий      |     |  +  |  +   |
|        |    пользователей по вводу и (или)    |     |     |      |
|        | передаче информации и предупреждение |     |     |      |
|        | пользователей об ошибочных действиях |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОЦЛ.6  |Обезличивание и (или) деидентификация |     |     |      |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|                IX. Обеспечение доступности (ОДТ)                 |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.0  |   Разработка политики обеспечения    |  +  |  +  |  +   |
|        |             доступности              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.1  |    Использование отказоустойчивых    |     |  +  |  +   |
|        |         технических средств          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.2  |   Резервирование средств и систем    |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.3  |Контроль безотказного функционирования|     |  +  |  +   |
|        |           средств и систем           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.4  |   Резервное копирование информации   |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.5  |Обеспечение возможности восстановления|  +  |  +  |  +   |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.6  |Обеспечение возможности восстановления|  +  |  +  |  +   |
|        |программного обеспечения при нештатных|     |     |      |
|        |              ситуациях               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.7  |     Кластеризация информационной     |     |     |      |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОДТ.8  |       Контроль предоставляемых       |  +  |  +  |  +   |
|        |  вычислительных ресурсов и каналов   |     |     |      |
|        |                связи                 |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|           X. Защита технических средств и систем (ЗТС)           |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.0  |Разработка политики защиты технических|  +  |  +  |  +   |
|        |           средств и систем           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.1  |    Защита информации от утечки по    |     |     |      |
|        |         техническим каналам          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.2  |   Организация контролируемой зоны    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.3  |    Управление физическим доступом    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.4  |     Размещение устройств вывода      |  +  |  +  |  +   |
|        |(отображения) информации, исключающее |     |     |      |
|        |   ее несанкционированный просмотр    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.5  |    Защита от внешних воздействий     |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗТС.6  | Маркирование аппаратных компонентов  |     |     |      |
|        |  системы относительно разрешенной к  |     |     |      |
|        |         обработке информации         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|    XI. Защита информационной (автоматизированной) системы и ее   |
|                       компонентов (ЗИС)                          |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.0  |      Разработка политики защиты      |  +  |  +  |  +   |
|        | информационной (автоматизированной)  |     |     |      |
|        |       системы и ее компонентов       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.1  |   Разделение функций по управлению   |  +  |  +  |  +   |
|        |  (администрированию) информационной  |     |     |      |
|        |(автоматизированной) системой с иными |     |     |      |
|        |              функциями               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.2  |   Защита периметра информационной    |  +  |  +  |  +   |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.3  |Эшелонированная защита информационной |  +  |  +  |  +   |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.4  |    Сегментирование информационной    |     |  +  |  +   |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.5  | Организация демилитаризованной зоны  |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.6  |     Управление сетевыми потоками     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.7  |    Использование эмулятора среды     |     |     |      |
|        |    функционирования программного     |     |     |      |
|        |      обеспечения ("песочница")       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.8  | Сокрытие архитектуры и конфигурации  |  +  |  +  |  +   |
|        | информационной (автоматизированной)  |     |     |      |
|        |               системы                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.9  |     Создание гетерогенной среды      |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.10 |      Использование программного      |     |     |      |
|        |обеспечения, функционирующего в средах|     |     |      |
|        |    различных операционных систем     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.11 |Предотвращение задержки или прерывания|     |     |      |
|        |    выполнения процессов с высоким    |     |     |      |
|        |  приоритетом со стороны процессов с  |     |     |      |
|        |          низким приоритетом          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.12 |    Изоляция процессов (выполнение    |     |     |      |
|        |программ) в выделенной области памяти |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.13 |      Защита неизменяемых данных      |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.14 |   Использование неперезаписываемых   |     |     |      |
|        |    машинных носителей информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.15 |  Реализация электронного почтового   |     |     |      |
|        |    обмена с внешними сетями через    |     |     |      |
|        |ограниченное количество контролируемых|     |     |      |
|        |                точек                 |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.16 |           Защита от спама            |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.17 |     Защита информации от утечек      |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.18 |Блокировка доступа к сайтам или типам |     |     |      |
|        | сайтов, запрещенных к использованию  |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.19 | Защита информации при ее передаче по |  +  |  +  |  +   |
|        |            каналам связи             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.20 |    Обеспечение доверенных канала,    |  +  |  +  |  +   |
|        |               маршрута               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.21 | Запрет несанкционированной удаленной |  +  |  +  |  +   |
|        |   активации периферийных устройств   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.22 |Управление атрибутами безопасности при|     |     |      |
|        |взаимодействии с иными информационными|     |     |      |
|        |   (автоматизированными) системами    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.23 |Контроль использования мобильного кода|     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.24 | Контроль передачи речевой информации |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.25 |  Контроль передачи видеоинформации   |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.26 |Подтверждение происхождения источника |     |     |      |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.27 |   Обеспечение подлинности сетевых    |     |  +  |  +   |
|        |              соединений              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.28 |   Исключение возможности отрицания   |     |  +  |  +   |
|        |         отправки информации          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.29 |   Исключение возможности отрицания   |     |  +  |  +   |
|        |         получения информации         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.30 |Использование устройств терминального |     |     |      |
|        |               доступа                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.31 |  Защита от скрытых каналов передачи  |     |     |  +   |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.32 |    Защита беспроводных соединений    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.33 |Исключение доступа через общие ресурсы|     |     |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.34 |Защита от угроз отказа в обслуживании |  +  |  +  |  +   |
|        |           (DOS, DDOS-атак)           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.35 |   Управление сетевыми соединениями   |     |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.36 |Создание (эмуляция) ложных компонентов|     |     |      |
|        | информационных (автоматизированных)  |     |     |      |
|        |                систем                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.37 |        Перевод информационной        |     |     |      |
|        |    (автоматизированной) системы в    |     |     |      |
|        |безопасное состояние при возникновении|     |     |      |
|        |           отказов (сбоев)            |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.38 | Защита информации при использовании  |  +  |  +  |  +   |
|        |         мобильных устройств          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ЗИС.39 | Управление перемещением виртуальных  |  +  |  +  |  +   |
|        | машин (контейнеров) и обрабатываемых |     |     |      |
|        |            на них данных             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|       XII. Реагирование на компьютерные инциденты (ИНЦ)          |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.0  | Разработка политики реагирования на  |  +  |  +  |  +   |
|        |        компьютерные инциденты        |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.1  |  Выявление компьютерных инцидентов   |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.2  |    Информирование о компьютерных     |  +  |  +  |  +   |
|        |              инцидентах              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.3  |    Анализ компьютерных инцидентов    |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.4  | Устранение последствий компьютерных  |  +  |  +  |  +   |
|        |              инцидентов              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.5  |    Принятие мер по предотвращению    |  +  |  +  |  +   |
|        |повторного возникновения компьютерных |     |     |      |
|        |              инцидентов              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИНЦ.6  |    Хранение и защита информации о    |     |     |  +   |
|        |       компьютерных инцидентах        |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|               XIII. Управление конфигурацией (УКФ)               |
|--------|--------------------------------------|-----|-----|------|
| УКФ.0  |    Разработка политики управления    |  +  |  +  |  +   |
|        |     конфигурацией информационной     |     |     |      |
|        |     (автоматизированной) системы     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УКФ.1  |  Идентификация объектов управления   |     |     |      |
|        |            конфигурацией             |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УКФ.2  |        Управление изменениями        |  +  |  +  |  +   |
|--------|--------------------------------------|-----|-----|------|
| УКФ.3  |    Установка (инсталляция) только    |  +  |  +  |  +   |
|        |     разрешенного к использованию     |     |     |      |
|        |       программного обеспечения       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| УКФ.4  |    Контроль действий по внесению     |     |     |      |
|        |              изменений               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|   XIV. Управление обновлениями программного обеспечения (ОПО)    |
|--------|--------------------------------------|-----|-----|------|
| ОПО.0  |    Разработка политики управления    |  +  |  +  |  +   |
|        |обновлениями программного обеспечения |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПО.1  |     Поиск, получение обновлений      |  +  |  +  |  +   |
|        |     программного обеспечения от      |     |     |      |
|        |        доверенного источника         |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПО.2  |   Контроль целостности обновлений    |  +  |  +  |  +   |
|        |       программного обеспечения       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПО.3  | Тестирование обновлений программного |  +  |  +  |  +   |
|        |             обеспечения              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ОПО.4  |  Установка обновлений программного   |  +  |  +  |  +   |
|        |             обеспечения              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|  XV. Планирование мероприятий по обеспечению безопасности (ПЛН)  |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.0  |   Разработка политики планирования   |  +  |  +  |  +   |
|        |  мероприятий по обеспечению защиты   |     |     |      |
|        |              информации              |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.1  |Разработка, утверждение и актуализация|  +  |  +  |  +   |
|        |   плана мероприятий по обеспечению   |     |     |      |
|        |          защиты информации           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ПЛН.2  |  Контроль выполнения мероприятий по  |  +  |  +  |  +   |
|        |    обеспечению защиты информации     |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|       XVI. Обеспечение действий в нештатных ситуациях (ДНС)      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.0  |   Разработка политики обеспечения    |  +  |  +  |  +   |
|        |    действий в нештатных ситуациях    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.1  |Разработка плана действий в нештатных |  +  |  +  |  +   |
|        |              ситуациях               |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.2  |    Обучение и отработка действий     |  +  |  +  |  +   |
|        |   персонала в нештатных ситуациях    |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.3  |Создание альтернативных мест хранения |     |  +  |  +   |
|        |   и обработки информации на случай   |     |     |      |
|        |   возникновения нештатных ситуаций   |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.4  |     Резервирование программного      |     |  +  |  +   |
|        |  обеспечения, технических средств,   |     |     |      |
|        |каналов связи на случай возникновения |     |     |      |
|        |          нештатных ситуаций          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.5  |Обеспечение возможности восстановления|  +  |  +  |  +   |
|        | информационной (автоматизированной)  |     |     |      |
|        |    системы в случае возникновения    |     |     |      |
|        |          нештатных ситуаций          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ДНС.6  |Анализ возникших нештатных ситуаций и |  +  |  +  |  +   |
|        |    принятие мер по недопущению их    |     |     |      |
|        |       повторного возникновения       |     |     |      |
|--------|--------------------------------------|-----|-----|------|
|        XVII. Информирование и обучение персонала (ИПО)           |
|--------|--------------------------------------|-----|-----|------|
| ИПО.0  | Разработка политики информирования и |  +  |  +  |  +   |
|        |          обучения персонала          |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИПО.1  | Информирование персонала об угрозах  |  +  |  +  |  +   |
|        | безопасности информации и о правилах |     |     |      |
|        |          безопасной работы           |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИПО.2  |Обучение персонала правилам безопасной|  +  |  +  |  +   |
|        |                работы                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИПО.3  |  Проведение практических занятий с   |     |  +  |  +   |
|        |  персоналом по правилам безопасной   |     |     |      |
|        |                работы                |     |     |      |
|--------|--------------------------------------|-----|-----|------|
| ИПО.4  |Контроль осведомленности персонала об |  +  |  +  |  +   |
|        | угрозах безопасности информации и о  |     |     |      |
|        |      правилах безопасной работы      |     |     |      |
|--------|--------------------------------------|-----|-----|------|

"+" - мера защиты информации включена в базовый набор мер для соответствующего класса защищенности автоматизированной системы управления.#❝

Меры защиты информации, не обозначенные знаком "+", применяются при адаптации и дополнении базового набора мер, а также при разработке компенсирующих мер защиты информации в автоматизированной системе управления соответствующего класса защищенности.".#❝

2. В приложении к Требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденным приказом Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. № 239, строку седьмую раздела XVI изложить в следующей редакции: "#❝

|------|------------------------------------------------|--|--|--|
|ДНС.6 |Анализ возникших нештатных ситуаций и принятие  |+ |+ |+ |
|      |мер по недопущению их повторного возникновения  |  |  |  |
|------|------------------------------------------------|--|--|--|

".#❝

____________

О каких нормах

О внесении изменений в Состав и содержание организационных и технических мер по обеспечению безопасности персональных да

К документу

Нормы, которые ссылаются 7

Документы того же органа рядом по дате

О внесении изменений в Положение об осуществлении Федеральной службой по техническому и экспортному контролю внутреннего финансового аудита, утвержден — Приказ ФСТЭК России от 29.03.2018 № 50
О внесении изменений в Регламент Федеральной службы по техническому и экспортному контролю, утвержденный приказом ФСТЭК России от 12 мая 2005 г. № 167 — Приказ ФСТЭК России от 26.04.2018 № 72
Об установлении предельного уровня соотношения среднемесячной заработной платы руководителя, заместителей руководителя, главного бухгалтера федерально — Приказ ФСТЭК России от 06.07.2018 № 115
Об утверждении Инструкции о порядке учета драгоценных металлов, содержащихся в покупных комплектующих деталях, изделиях, приборах, инструментах, обору — Приказ ФСТЭК России от 27.07.2018 № 129
О внесении изменений в Положение об осуществлении Федеральной службой по техническому и экспортному контролю внутреннего финансового аудита, утвержден — Приказ ФСТЭК России от 29.08.2018 № 150
О внесении изменений в приказ Федеральной службы по техническому и экспортному контролю от 28 февраля 2011 г. № 108 "О порядке составления и утвержден — Приказ ФСТЭК России от 09.11.2018 № 200
О внесении изменений в форму направления сведений о результатах присвоения объекту критической информационной инфраструктуры одной из категорий значим — Приказ ФСТЭК России от 21.03.2019 № 59
О внесении изменений в Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утверж — Приказ ФСТЭК России от 26.03.2019 № 60

Все документы: ФСТЭК России →