Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды (с изменениями на 15 марта 2021 года)

Условное обозначение и номер меры

Меры защиты информации в автоматизированных системах управления

Классы защищенности автоматизированной системы управления

3

2

1

I. Идентификация и аутентификация (ИАФ)

ИАФ.0

Разработка политики идентификации и аутентификации

+

+

+

ИАФ.1

Идентификация и аутентификация пользователей и инициируемых ими процессов

+

+

+

ИАФ.2

Идентификация и аутентификация устройств

+

+

+

ИАФ.3

Управление идентификаторами

+

+

+

ИАФ.4

Управление средствами аутентификации

+

+

+

ИАФ.5

Идентификация и аутентификация внешних пользователей

+

+

+

ИАФ.6

Двусторонняя аутентификация

ИАФ.7

Защита аутентификационной информации при передаче

+

+

+

II. Управление доступом (УПД)

УПД.0

Разработка политики управления доступом

+

+

+

УПД.1

Управление учетными записями пользователей

+

+

+

УПД.2

Реализация политик управления доступа

+

+

+

УПД.3

Доверенная загрузка

+

+

УПД.4

Разделение полномочий (ролей) пользователей

+

+

+

УПД.5

Назначение минимально необходимых прав и привилегий

+

+

+

УПД.6

Ограничение неуспешных попыток доступа в информационную (автоматизированную) систему

+

+

+

УПД.7

Предупреждение пользователя при его доступе к информационным ресурсам

УПД.8

Оповещение пользователя при успешном входе предыдущем доступе к информационной (автоматизированной) системе

+

УПД.9

Ограничение числа параллельных сеансов доступа

+

УПД.10

Блокирование сеанса доступа пользователя при неактивности

+

+

+

УПД.11

Управление действиями пользователей до идентификации и аутентификации

+

+

+

УПД.12

Управление атрибутами безопасности

УПД.13

Реализация защищенного удаленного доступа

+

+

+

УПД.14

Контроль доступа из внешних информационных (автоматизированных) систем

+

+

+

III. Ограничение программной среды (ОПС)

ОПС.0

Разработка политики ограничения программной среды

+

+

ОПС.1

Управление запуском (обращениями) компонентов программного обеспечения

+

ОПС.2

Управление установкой (инсталляцией) компонентов программного обеспечения

+

+

ОПС.3

Управление временными файлами

IV. Защита машинных носителей информации (ЗНИ)

ЗНИ.0

Разработка политики защиты машинных носителей информации

+

+

+

ЗНИ.1

Учет машинных носителей информации

+

+

+

ЗНИ.2

Управление физическим доступом к машинным носителям информации

+

+

+

ЗНИ.3

Контроль перемещения машинных носителей информации за пределы контролируемой зоны

ЗНИ.4

Исключение возможности несанкционированного чтения информации на машинных носителях информации

ЗНИ.5

Контроль использования интерфейсов ввода (вывода) информации на машинные носители информации

+

+

+

ЗНИ.6

Контроль ввода (вывода) информации на машинные носители информации

+

ЗНИ.7

Контроль подключения машинных носителей информации

+

+

+

ЗНИ.8

Уничтожение (стирание) информации на машинных носителях информации

+

+

+

V. Аудит безопасности (АУД)

АУД.0

Разработка политики аудита безопасности

+

+

+

АУД.1

Инвентаризация информационных ресурсов

+

+

+

АУД.2

Анализ уязвимостей и их устранение

+

+

+

АУД.3

Генерирование временных меток и (или) синхронизация системного времени

+

+

+

АУД.4

Регистрация событий безопасности

+

+

+

АУД.5

Контроль и анализ сетевого трафика

+

АУД.6

Защита информации о событиях безопасности

+

+

+

АУД.7

Мониторинг безопасности

+

+

+

АУД.8

Реагирование на сбои при регистрации событий безопасности

+

+

+

АУД.9

Анализ действий пользователей

+

АУД.10

Проведение внутренних аудитов

+

+

+

АУД.11

Проведение внешних аудитов

+

VI. Антивирусная защита (АВЗ)

АВЗ.0

Разработка политики антивирусной защиты

+

+

+

АВЗ.1

Реализация антивирусной защиты

+

+

+

АВЗ.2

Антивирусная защита электронной почты и иных сервисов

+

+

+

АВЗ.3

Контроль использования архивных, исполняемых и зашифрованных файлов

+

АВЗ.4

Обновление базы данных признаков вредоносных компьютерных программ (вирусов)

+

+

+

АВЗ.5

Использование средств антивирусной защиты различных производителей

+

VII. Предотвращение вторжений (компьютерных атак) (СОВ)

СОВ.0

Разработка политики предотвращения вторжений (компьютерных атак)

+

+

СОВ.1

Обнаружение и предотвращение компьютерных атак

+

+

СОВ.2

Обновление базы решающих правил

+

+

VIII. Обеспечение целостности (ОЦЛ)

ОЦЛ.0

Разработка политики обеспечения целостности

+

+

+

ОЦЛ.1

Контроль целостности программного обеспечения

+

+

+

ОЦЛ.2

Контроль целостности информации

ОЦЛ.3

Ограничения по вводу информации в информационную (автоматизированную) систему

+

ОЦЛ.4

Контроль данных, вводимых в информационную (автоматизированную) систему

+

+

ОЦЛ.5

Контроль ошибочных действий пользователей по вводу и (или) передаче информации и предупреждение пользователей об ошибочных действиях

+

+

ОЦЛ.6

Обезличивание и (или) деидентификация информации

IX. Обеспечение доступности (ОДТ)

ОДТ.0

Разработка политики обеспечения доступности

+

+

+

ОДТ.1

Использование отказоустойчивых технических средств

+

+

ОДТ.2

Резервирование средств и систем

+

+

ОДТ.3

Контроль безотказного функционирования средств и систем

+

+

ОДТ.4

Резервное копирование информации

+

+

+

ОДТ.5

Обеспечение возможности восстановления информации

+

+

+

ОДТ.6

Обеспечение возможности восстановления программного обеспечения при нештатных ситуациях

+

+

+

ОДТ.7

Кластеризация информационной (автоматизированной) системы

ОДТ.8

Контроль предоставляемых вычислительных ресурсов и каналов связи

+

+

+

X. Защита технических средств и систем (ЗТС)

ЗТС.0

Разработка политики защиты технических средств и систем

+

+

+

ЗТС.1

Защита информации от утечки по техническим каналам

ЗТС.2

Организация контролируемой зоны

+

+

+

ЗТС.3

Управление физическим доступом

+

+

+

ЗТС.4

Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр

+

+

+

ЗТС.5

Защита от внешних воздействий

+

+

+

ЗТС.6

Маркирование аппаратных компонентов системы относительно разрешенной к обработке информации

XI. Защита информационной (автоматизированной) системы и ее компонентов (ЗИС)

ЗИС.0

Разработка политики защиты информационной (автоматизированной) системы и ее компонентов

+

+

+

ЗИС.1

Разделение функций по управлению (администрированию) информационной (автоматизированной) системой с иными функциями

+

+

+

ЗИС.2

Защита периметра информационной (автоматизированной) системы

+

+

+

ЗИС.3

Эшелонированная защита информационной (автоматизированной) системы

+

+

+

ЗИС.4

Сегментирование информационной (автоматизированной) системы

+

+

ЗИС.5

Организация демилитаризованной зоны

+

+

+

ЗИС.6

Управление сетевыми потоками

ЗИС.7

Использование эмулятора среды функционирования программного обеспечения ("песочница")

ЗИС.8

Сокрытие архитектуры и конфигурации информационной (автоматизированной) системы

+

+

+

ЗИС.9

Создание гетерогенной среды

ЗИС.10

Использование программного обеспечения, функционирующего в средах различных операционных систем

ЗИС.11

Предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом

ЗИС.12

Изоляция процессов (выполнение программ) в выделенной области памяти

ЗИС.13

Защита неизменяемых данных

+

+

ЗИС.14

Использование неперезаписываемых машинных носителей информации

ЗИС.15

Реализация электронного почтового обмена с внешними сетями через ограниченное количество контролируемых точек

ЗИС.16

Защита от спама

+

+

ЗИС.17

Защита информации от утечек

ЗИС.18

Блокировка доступа к сайтам или типам сайтов, запрещенных к использованию

ЗИС.19

Защита информации при ее передаче по каналам связи

+

+

+

ЗИС.20

Обеспечение доверенных канала, маршрута

+

+

+

ЗИС.21

Запрет несанкционированной удаленной активации периферийных устройств

+

+

+

ЗИС.22

Управление атрибутами безопасности при взаимодействии с иными информационными (автоматизированными) системами

ЗИС.23

Контроль использования мобильного кода

+

+

ЗИС.24

Контроль передачи речевой информации

+

+

ЗИС.25

Контроль передачи видеоинформации

+

+

ЗИС.26

Подтверждение происхождения источника информации

ЗИС.27

Обеспечение подлинности сетевых соединений

+

+

ЗИС.28

Исключение возможности отрицания отправки информации

+

+

ЗИС.29

Исключение возможности отрицания получения информации

+

+

ЗИС.30

Использование устройств терминального доступа

ЗИС.31

Защита от скрытых каналов передачи информации

+

ЗИС.32

Защита беспроводных соединений

+

+

+

ЗИС.33

Исключение доступа через общие ресурсы

+

ЗИС.34

Защита от угроз отказа в обслуживании (DOS, DDOS-атак)

+

+

+

ЗИС.35

Управление сетевыми соединениями

+

+

ЗИС.36

Создание (эмуляция) ложных компонентов информационных (автоматизированных) систем

ЗИС.37

Перевод информационной (автоматизированной) системы в безопасное состояние при возникновении отказов (сбоев)

ЗИС.38

Защита информации при использовании мобильных устройств

+

+

+

ЗИС.39

Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных

+

+

+

XII. Реагирование на компьютерные инциденты (ИНЦ)

ИНЦ.0

Разработка политики реагирования на компьютерные инциденты

+

+

+

ИНЦ.1

Выявление компьютерных инцидентов

+

+

+

ИНЦ.2

Информирование о компьютерных инцидентах

+

+

+

ИНЦ.3

Анализ компьютерных инцидентов

+

+

+

ИНЦ.4

Устранение последствий компьютерных инцидентов

+

+

+

ИНЦ.5

Принятие мер по предотвращению повторного возникновения компьютерных инцидентов

+

+

+

ИНЦ.6

Хранение и защита информации о компьютерных инцидентах

+

XIII. Управление конфигурацией (УКФ)

УКФ.0

Разработка политики управления конфигурацией информационной (автоматизированной) системы

+

+

+

УКФ.1

Идентификация объектов управления конфигурацией

УКФ.2

Управление изменениями

+

+

+

УКФ.3

Установка (инсталляция) только разрешенного к использованию программного обеспечения

+

+

+

УКФ.4

Контроль действий по внесению изменений

XIV. Управление обновлениями программного обеспечения (ОПО)

ОПО.0

Разработка политики управления обновлениями программного обеспечения

+

+

+

ОПО.1

Поиск, получение обновлений программного обеспечения от доверенного источника

+

+

+

ОПО.2

Контроль целостности обновлений программного обеспечения

+

+

+

ОПО.3

Тестирование обновлений программного обеспечения

+

+

+

ОПО.4

Установка обновлений программного обеспечения

+

+

+

XV. Планирование мероприятий по обеспечению безопасности (ПЛН)

ПЛН.0

Разработка политики планирования мероприятий по обеспечению защиты информации

+

+

+

ПЛН.1

Разработка, утверждение и актуализация плана мероприятий по обеспечению защиты информации

+

+

+

ПЛН.2

Контроль выполнения мероприятий по обеспечению защиты информации

+

+

+

XVI. Обеспечение действий в нештатных ситуациях (ДНС)

ДНС.0

Разработка политики обеспечения действий в нештатных ситуациях

+

+

+

ДНС.1

Разработка плана действий в нештатных ситуациях

+

+

+

ДНС.2

Обучение и отработка действий персонала в нештатных ситуациях

+

+

+

ДНС.3

Создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций

+

+

ДНС.4

Резервирование программного обеспечения, технических средств, каналов связи на случай возникновения нештатных ситуаций

+

+

ДНС.5

Обеспечение возможности восстановления информационной (автоматизированной) системы в случае возникновения нештатных ситуаций

+

+

+

ДНС.6

Анализ возникших нештатных ситуаций и принятие мер по недопущению их повторного возникновения

+

+

+

XVII. Информирование и обучение персонала (ИПО)

ИПО.0

Разработка политики информирования и обучения персонала

+

+

+

ИПО.1

Информирование персонала об угрозах безопасности информации и о правилах безопасной работы

+

+

+

ИПО.2

Обучение персонала правилам безопасной работы

+

+

+

ИПО.3

Проведение практических занятий с персоналом по правилам безопасной работы

+

+

ИПО.4

Контроль осведомленности персонала об угрозах безопасности информации и о правилах безопасной работы

+

+

+