О методическом документе ФСТЭК России "Меры защиты информации в государственных информационных системах"
2.3 Выбор мер защиты информации для их реализации в информационной системе в рамках ее системы защиты информации
Меры защиты информации реализуются в информационной системе в рамках ее системы защиты информации в зависимости от класса защищенности информационной системы, угроз безопасности информации, структурно-функциональных характеристик информационной системы, применяемых информационных технологий и особенностей функционирования информационной системы.
В информационной системе подлежат реализации следующие меры защиты информации:
идентификация и аутентификация субъектов доступа и объектов доступа;
управление доступом субъектов доступа к объектам доступа;
ограничение программной среды;
защита машинных носителей информации;
регистрация событий безопасности;
антивирусная защита;
обнаружение (предотвращение) вторжений;
контроль (анализ) защищенности информации;
обеспечение целостности информационной системы и информации;
обеспечение доступности информации;
защита среды виртуализации;
защита технических средств;
защита информационной системы, ее средств и систем связи и передачи данных.
Меры защиты информации, выбираемые для реализации в информационной системе, должны обеспечивать блокирование одной или нескольких угроз безопасности информации, включенных в модель угроз безопасности информации.
Содержание мер защиты информации для их реализации в информационных системах приведено в приложении N 2 к настоящему методическому документу. Описание представленных в приложении N 2 мер защиты информации приведено в разделе 3 настоящего методического документа.
Выбор мер защиты информации для их реализации в информационной системе включает (см. рисунок):
определение базового набора мер защиты информации для установленного класса защищенности информационной системы;
адаптацию базового набора мер защиты информации применительно к структурно-функциональным характеристикам информационной системы, информационным технологиям, особенностям функционирования информационной системы;
уточнение адаптированного базового набора мер защиты информации с учетом не выбранных ранее мер защиты информации для блокирования (нейтрализации) всех угроз безопасности информации, включенных в модель угроз безопасности информации;
дополнение уточненного адаптированного базового набора мер защиты информации мерами, обеспечивающими выполнение требований о защите информации, установленными иными нормативными правовыми актами в области защиты информации, в том числе в области защиты персональных данных.
Рисунок - Общий порядок действий по выбору мер защиты информации для их реализации в информационной системе
При невозможности реализации в информационной системе в рамках ее системы защиты информации отдельных выбранных мер защиты информации на этапах адаптации базового набора мер защиты информации или уточнения адаптированного базового набора мер защиты информации могут разрабатываться иные (компенсирующие) меры защиты информации, обеспечивающие адекватное блокирование (нейтрализацию) угроз безопасности информации.
а) определение базового набора мер защиты информации