Чеклист мер по приказу ФСТЭК №239
152 меры в 17 группах для значимых объектов КИИ. Выберите категорию значимости — увидите обязательные меры.
Выберите уровень
Вторая категория значимости
Прогресс проверки
0%
Категория 2 — Значимые объекты КИИ (категории 1–3)
Выполнено: 0 из 108 мер
Осталось 108 мер. Отметьте выполненные — прогресс сохраняется автоматически.
Автоматизировать в КиберОсноваКонтроль мер + доказательная база + отчёт
Полный перечень мер
| Код | Мера | Кат.3 | Кат.2 | Кат.1 |
|---|---|---|---|---|
| ИАФ — Идентификация и аутентификация | ||||
| ИАФ.0 | Регламентация правил и процедур идентификации и аутентификации | + | + | + |
| ИАФ.1 | Идентификация и аутентификация пользователей и инициируемых ими процессов | + | + | + |
| ИАФ.2 | Идентификация и аутентификация устройств | + | + | + |
| ИАФ.3 | Управление идентификаторами | + | + | + |
| ИАФ.4 | Управление средствами аутентификации | + | + | + |
| ИАФ.5 | Идентификация и аутентификация внешних пользователей | + | + | + |
| ИАФ.6 | Двусторонняя аутентификация | — | — | — |
| ИАФ.7 | Защита аутентификационной информации при передаче | + | + | + |
| УПД — Управление доступом | ||||
| УПД.0 | Регламентация правил и процедур управления доступом | + | + | + |
| УПД.1 | Управление учетными записями пользователей | + | + | + |
| УПД.2 | Реализация модели управления доступом | + | + | + |
| УПД.3 | Доверенная загрузка | — | + | + |
| УПД.4 | Разделение полномочий (ролей) пользователей | + | + | + |
| УПД.5 | Назначение минимально необходимых прав и привилегий | + | + | + |
| УПД.6 | Ограничение неуспешных попыток доступа в информационную (автоматизированную) систему | + | + | + |
| УПД.7 | Предупреждение пользователя при его доступе к информационным ресурсам | — | — | — |
| УПД.8 | Оповещение пользователя при успешном входе о предыдущем доступе к информационной (автоматизированной) системе | — | — | — |
| УПД.9 | Ограничение числа параллельных сеансов доступа | — | — | + |
| УПД.10 | Блокирование сеанса доступа пользователя при неактивности | + | + | + |
| УПД.11 | Управление действиями пользователей до идентификации и аутентификации | + | + | + |
| УПД.12 | Управление атрибутами безопасности | — | — | — |
| УПД.13 | Реализация защищенного удаленного доступа | + | + | + |
| УПД.14 | Контроль доступа из внешних информационных (автоматизированных) систем | + | + | + |
| ОПС — Ограничение программной среды | ||||
| ОПС.0 | Регламентация правил и процедур ограничения программной среды | — | + | + |
| ОПС.1 | Управление запуском (обращениями) компонентов программного обеспечения | — | — | + |
| ОПС.2 | Управление установкой (инсталляцией) компонентов программного обеспечения | — | + | + |
| ОПС.3 | Управление временными файлами | — | — | — |
| ЗНИ — Защита машинных носителей информации | ||||
| ЗНИ.0 | Регламентация правил и процедур защиты машинных носителей информации | + | + | + |
| ЗНИ.1 | Учет машинных носителей информации | + | + | + |
| ЗНИ.2 | Управление физическим доступом к машинным носителям информации | + | + | + |
| ЗНИ.3 | Контроль перемещения машинных носителей информации за пределы контролируемой зоны | — | — | — |
| ЗНИ.4 | Исключение возможности несанкционированного чтения информации на машинных носителях информации | — | — | — |
| ЗНИ.5 | Контроль использования интерфейсов ввода (вывода) информации на съемные машинные носители информации | + | + | + |
| ЗНИ.6 | Контроль ввода (вывода) информации на съемные машинные носители информации | — | — | + |
| ЗНИ.7 | Контроль подключения съемных машинных носителей информации | + | + | + |
| ЗНИ.8 | Уничтожение (стирание) информации на машинных носителях информации | + | + | + |
| АУД — Аудит безопасности | ||||
| АУД.0 | Регламентация правил и процедур аудита безопасности | + | + | + |
| АУД.1 | Инвентаризация информационных ресурсов | + | + | + |
| АУД.2 | Анализ уязвимостей и их устранение | + | + | + |
| АУД.3 | Генерирование временных меток и (или) синхронизация системного времени | + | + | + |
| АУД.4 | Регистрация событий безопасности | + | + | + |
| АУД.5 | Контроль и анализ сетевого трафика | — | — | + |
| АУД.6 | Защита информации о событиях безопасности | + | + | + |
| АУД.7 | Мониторинг безопасности | + | + | + |
| АУД.8 | Реагирование на сбои при регистрации событий безопасности | + | + | + |
| АУД.9 | Анализ действий отдельных пользователей | — | — | + |
| АУД.10 | Проведение внутренних аудитов | + | + | + |
| АУД.11 | Проведение внешних аудитов | — | — | — |
| АВЗ — Антивирусная защита | ||||
| АВЗ.0 | Регламентация правил и процедур антивирусной защиты | + | + | + |
| АВЗ.1 | Реализация антивирусной защиты | + | + | + |
| АВЗ.2 | Антивирусная защита электронной почты и иных сервисов | + | + | + |
| АВЗ.3 | Контроль использования архивных, исполняемых и зашифрованных файлов | — | — | + |
| АВЗ.4 | Обновление базы данных признаков вредоносных компьютерных программ (вирусов) | + | + | + |
| АВЗ.5 | Использование средств антивирусной защиты различных производителей | — | — | + |
| СОВ — Предотвращение вторжений (компьютерных атак) | ||||
| СОВ.0 | Регламентация правил и процедур предотвращения вторжений (компьютерных атак) | — | + | + |
| СОВ.1 | Обнаружение и предотвращение компьютерных атак | — | + | + |
| СОВ.2 | Обновление базы решающих правил | — | + | + |
| ОЦЛ — Обеспечение целостности | ||||
| ОЦЛ.0 | Регламентация правил и процедур обеспечения целостности | + | + | + |
| ОЦЛ.1 | Контроль целостности программного обеспечения | + | + | + |
| ОЦЛ.2 | Контроль целостности информации | — | — | — |
| ОЦЛ.3 | Ограничения по вводу информации в информационную (автоматизированную) систему | — | — | + |
| ОЦЛ.4 | Контроль данных, вводимых в информационную (автоматизированную) систему | — | + | + |
| ОЦЛ.5 | Контроль ошибочных действий пользователей по вводу и (или) передаче информации и предупреждение пользователей об ошибочных действиях | — | + | + |
| ОЦЛ.6 | Обезличивание и (или) деидентификация информации | — | — | — |
| ОДТ — Обеспечение доступности | ||||
| ОДТ.0 | Регламентация правил и процедур обеспечения доступности | + | + | + |
| ОДТ.1 | Использование отказоустойчивых технических средств | — | + | + |
| ОДТ.2 | Резервирование средств и систем | — | + | + |
| ОДТ.3 | Контроль безотказного функционирования средств и систем | — | + | + |
| ОДТ.4 | Резервное копирование информации | + | + | + |
| ОДТ.5 | Обеспечение возможности восстановления информации | + | + | + |
| ОДТ.6 | Обеспечение возможности восстановления программного обеспечения при нештатных ситуациях | + | + | + |
| ОДТ.7 | Кластеризация информационной (автоматизированной) системы | — | — | — |
| ОДТ.8 | Контроль предоставляемых вычислительных ресурсов и каналов связи | + | + | + |
| ЗТС — Защита технических средств и систем | ||||
| ЗТС.0 | Регламентация правил и процедур защиты технических средств и систем | + | + | + |
| ЗТС.1 | Защита информации от утечки по техническим каналам | — | — | — |
| ЗТС.2 | Организация контролируемой зоны | + | + | + |
| ЗТС.3 | Управление физическим доступом | + | + | + |
| ЗТС.4 | Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр | + | + | + |
| ЗТС.5 | Защита от внешних воздействий | + | + | + |
| ЗТС.6 | Маркирование аппаратных компонентов системы относительно разрешенной к обработке информации | — | — | — |
| ЗИС — Защита информационной (автоматизированной) системы и ее компонентов | ||||
| ЗИС.0 | Регламентация правил и процедур защиты информационной (автоматизированной) системы и ее компонентов | + | + | + |
| ЗИС.1 | Разделение функций по управлению (администрированию) информационной (автоматизированной) системой с иными функциями | + | + | + |
| ЗИС.2 | Защита периметра информационной (автоматизированной) системы | + | + | + |
| ЗИС.3 | Эшелонированная защита информационной (автоматизированной) системы | + | + | + |
| ЗИС.4 | Сегментирование информационной (автоматизированной) системы | — | + | + |
| ЗИС.5 | Организация демилитаризованной зоны | + | + | + |
| ЗИС.6 | Управление сетевыми потоками | + | + | + |
| ЗИС.7 | Использование эмулятора среды функционирования программного обеспечения ("песочница") | — | — | — |
| ЗИС.8 | Сокрытие архитектуры и конфигурации информационной (автоматизированной) системы | + | + | + |
| ЗИС.9 | Создание гетерогенной среды | — | — | — |
| ЗИС.10 | Использование программного обеспечения, функционирующего в средах различных операционных систем | — | — | — |
| ЗИС.11 | Предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом | — | — | — |
| ЗИС.12 | Изоляция процессов (выполнение программ) в выделенной области памяти | — | — | — |
| ЗИС.13 | Защита неизменяемых данных | — | + | + |
| ЗИС.14 | Использование неперезаписываемых машинных носителей информации | — | — | — |
| ЗИС.15 | Реализация электронного почтового обмена с внешними сетями через ограниченное количество контролируемых точек | — | — | — |
| ЗИС.16 | Защита от спама | — | + | + |
| ЗИС.17 | Защита информации от утечек | — | — | — |
| ЗИС.18 | Блокировка доступа к сайтам или типам сайтов, запрещенных к использованию | — | — | — |
| ЗИС.19 | Защита информации при ее передаче по каналам связи | + | + | + |
| ЗИС.20 | Обеспечение доверенных канала, маршрута | + | + | + |
| ЗИС.21 | Запрет несанкционированной удаленной активации периферийных устройств | + | + | + |
| ЗИС.22 | Управление атрибутами безопасности при взаимодействии с иными информационными (автоматизированными) системами | — | — | — |
| ЗИС.23 | Контроль использования мобильного кода | — | — | — |
| ЗИС.24 | Контроль передачи речевой информации | — | — | — |
| ЗИС.25 | Контроль передачи видеоинформации | — | — | — |
| ЗИС.26 | Подтверждение происхождения источника информации | — | — | — |
| ЗИС.27 | Обеспечение подлинности сетевых соединений | — | + | + |
| ЗИС.28 | Исключение возможности отрицания отправки информации | — | — | — |
| ЗИС.29 | Исключение возможности отрицания получения информации | — | — | — |
| ЗИС.30 | Использование устройств терминального доступа | — | — | — |
| ЗИС.31 | Защита от скрытых каналов передачи информации | — | — | — |
| ЗИС.32 | Защита беспроводных соединений | + | + | + |
| ЗИС.33 | Исключение доступа через общие ресурсы | — | — | + |
| ЗИС.34 | Защита от угроз отказа в обслуживании (DOS, DDOS-атак) | + | + | + |
| ЗИС.35 | Управление сетевыми соединениями | + | + | + |
| ЗИС.36 | Создание (эмуляция) ложных компонентов информационных (автоматизированных) систем | — | — | — |
| ЗИС.37 | Перевод информационной (автоматизированной) системы в безопасное состояние при возникновении отказов (сбоев) | — | — | — |
| ЗИС.38 | Защита информации при использовании мобильных устройств | + | + | + |
| ЗИС.39 | Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных | + | + | + |
| ИНЦ — Реагирование на компьютерные инциденты | ||||
| ИНЦ.0 | Регламентация правил и процедур реагирования на компьютерные инциденты | + | + | + |
| ИНЦ.1 | Выявление компьютерных инцидентов | + | + | + |
| ИНЦ.2 | Информирование о компьютерных инцидентах | + | + | + |
| ИНЦ.3 | Анализ компьютерных инцидентов | + | + | + |
| ИНЦ.4 | Устранение последствий компьютерных инцидентов | + | + | + |
| ИНЦ.5 | Принятие мер по предотвращению повторного возникновения компьютерных инцидентов | + | + | + |
| ИНЦ.6 | Хранение и защита информации о компьютерных инцидентах | + | + | + |
| УКФ — Управление конфигурацией | ||||
| УКФ.0 | Регламентация правил и процедур управления конфигурацией информационной (автоматизированной) системы | + | + | + |
| УКФ.1 | Идентификация объектов управления конфигурацией | — | — | — |
| УКФ.2 | Управление изменениями | + | + | + |
| УКФ.3 | Установка (инсталляция) только разрешенного к использованию программного обеспечения | + | + | + |
| УКФ.4 | Контроль действий по внесению изменений | — | — | — |
| ОПО — Управление обновлениями программного обеспечения | ||||
| ОПО.0 | Регламентация правил и процедур управления обновлениями программного обеспечения | + | + | + |
| ОПО.1 | Поиск, получение обновлений программного обеспечения от доверенного источника | + | + | + |
| ОПО.2 | Контроль целостности обновлений программного обеспечения | + | + | + |
| ОПО.3 | Тестирование обновлений программного обеспечения | + | + | + |
| ОПО.4 | Установка обновлений программного обеспечения | + | + | + |
| ПЛН — Планирование мероприятий по обеспечению безопасности | ||||
| ПЛН.0 | Регламентация правил и процедур планирования мероприятий по обеспечению защиты информации | + | + | + |
| ПЛН.1 | Разработка, утверждение и актуализация плана мероприятий по обеспечению защиты информации | + | + | + |
| ПЛН.2 | Контроль выполнения мероприятий по обеспечению защиты информации | + | + | + |
| ДНС — Обеспечение действий в нештатных ситуациях | ||||
| ДНС.0 | Регламентация правил и процедур обеспечения действий в нештатных ситуациях | + | + | + |
| ДНС.1 | Разработка плана действий в нештатных ситуациях | + | + | + |
| ДНС.2 | Обучение и отработка действий персонала в нештатных ситуациях | + | + | + |
| ДНС.3 | Создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций | — | + | + |
| ДНС.4 | Резервирование программного обеспечения, технических средств, каналов связи на случай возникновения нештатных ситуаций | — | + | + |
| ДНС.5 | Обеспечение возможности восстановления информационной (автоматизированной) системы в случае возникновения нештатных ситуаций | + | + | + |
| ДНС.6 | Анализ возникших нештатных ситуаций и принятие мер по недопущению их повторного возникновения | + | + | + |
| ИПО — Информирование и обучение персонала | ||||
| ИПО.0 | Регламентация правил и процедур информирования и обучения персонала | + | + | + |
| ИПО.1 | Информирование персонала об угрозах безопасности информации и о правилах безопасной работы | + | + | + |
| ИПО.2 | Обучение персонала правилам безопасной работы | + | + | + |
| ИПО.3 | Проведение практических занятий с персоналом по правилам безопасной работы | — | + | + |
| ИПО.4 | Контроль осведомленности персонала об угрозах безопасности информации и о правилах безопасной работы | + | + | + |
Автоматизируйте контроль 152 мер КИИ в КиберОснова
Все меры №239 + категорирование + ГосСОПКА + ОРД