### Требования 1. Использовать межсетевые экраны. Эти устройства являются программным или аппаратным обеспечением, которое блокирует нежелательный доступ и управляет санкционированным доступом на входе в сеть и выходе из нее. 1. Описать актуальную схему сети. Схемы сети описывают конфигурацию сетей и определяют места расположения всех сетевых устройств. 0. Составить схему потоков важной информации. Схема определяет расположение информации, которая хранится, обрабатываются или передаются внутри сети. 0. Описать роли и обязанности персонала. Это гарантирует, что работники знают, кто отвечает за безопасность всех компонентов сети, и что лица, назначенные для управления компонентами, знают о своих обязанностях. 0. Задокументировать все службы, протоколы и порты, которые используются в компании. А также описать средства их защиты, в случае если они считаются небезопасными. Это позволяет организациям обеспечить отключение или удаление всех остальных служб, протоколов и портов. 0. Раз в полгода пересматривать правила для межсетевых экранов. Пересмотр наборов правил дает организации возможность удаления всех ненужных, устаревших или некорректных правил. 0. Необходимо установить защиту сети между внутренней доверенной сетью и любой недоверенной внешней сетью, которая не находится под контролем организации. 0. Разрешить доступ к системам с важной информацией только с доверенных IP-адресов. 0. Обеспечить безопасность и синхронизацию конфигурационных файлов маршрутизаторов. 0. Ограничить доступ от WiFi сетей до среды с важной информацией. 0. Не раскрывать частные IP-адреса и информацию об их маршрутизации(использовать NAT или прокси-сервера). ### Требования 2. Не использовать пароли к системам и другие параметры безопасности по умолчанию, заданные производителем. 1. Всегда изменять параметры по умолчанию, заданные производителями, а также удалять или отключать неиспользуемые учетные записи по умолчанию перед установкой систем в сети. 0. Для беспроводных сетей, которые подключены к среде важной информацией либо передают её, необходимо изменить ВСЕ параметры по умолчанию, заданные производителем. 0. Реализовать на каждом сервере только одну основную функцию во избежание совмещения на одном и том же сервере функций, требующих различных уровней защиты. 0. Удалить все неиспользуемые функциональные возможности, например, скрипты, драйверы, функции, подсистемы, файловые системы, а также неиспользуемые веб-серверы. 0. При использовании любого не консольного административного доступа к системе всегда шифровать канал с использованием стойкой криптографии. ### Требования 3. Защищать хранимые важные данные 1. Составить политику хранения данных. Она определяет, какие данные необходимо хранить, срок хранения и где находятся эти данные, чтобы их можно было безопасно уничтожить или удалить, когда они больше не требуются. 0. Документировать и внедрить процедуры защиты ключей, используемых для защиты хранимых важных данных от раскрытия или злоупотребления. 0. Сократить до минимума количество лиц, имеющих доступ к криптографическим ключам. ### Требование 4. Защищать все системы от вредоносного ПО и регулярно обновлять антивирусные ПО или программы. 1. Развернуть антивирусное ПО на всех системах, обычно подверженных воздействию вредоносного ПО (особенно на персональных компьютерах и серверах) 0. Проводить периодические проверки в системах, которые обычно считаются не подверженными заражению вредоносным ПО, выявляя и оценивая угрозы заражения новыми формами вредоносного ПО, для того, чтобы проверять, что эти системы по-прежнему не требуют антивирусного ПО. 0. Проверить, что все антивирусные механизмы настроены на автоматическое обновление, настроены на периодическое сканирование и включено создание журналов регистрации событий. 0. Убедиться, что антивирусные механизмы постоянно запущены, и пользователи не могут их отключить или изменить без явного разрешения, которое выдается руководством на каждый конкретный случай и на ограниченный период времени. ### Требование 5. Разрабатывать и поддерживать безопасные системы и приложения 1. Наладить процесс выявления уязвимостей с помощью авторитетных внешних источников информации об уязвимостях, а также процесс оценки критичности (например, «высокая», «средняя» или «низкая») для недавно обнаруженных уязвимостей. Читаем новости и в зависимости от используемого ПО записываем уязвимости. 0. Гарантировать, что все системные компоненты и ПО защищены от известных уязвимостей путем установки применимых обновлений безопасности, которые выпускает производитель. Устанавливать критичные обновления безопасности в течение одного месяца с момента их выпуска. 0. Разрабатывать внутренние и внешние приложения с на основе отраслевых стандартов и (или) рекомендаций по безопасности. 0. Удалять все учетные записи разработчиков, тестовые учетные записи и(или) учетные записи заказного приложения, идентификаторы пользователей и пароли перед передачей ПО заказчикам или переводом его в производственный режим. 0. Контролировать разрабатываемый код на наличие потенциальных уязвимостей, вносить все необходимые корректировки до выпуска ПО. 0. Управлять распространенными уязвимостями программного кода в процессе разработки ПО следующим образом: обучатьразработчиков не реже одного раза в год актуальным методикам безопасного программирования, включая информацию о том, как избежать распространенных программных уязвимостей. * Инъекции, в частности, SQL-инъекции, а также инъекции LDAP, XPath, команд ОС и др. Инъекция происходит, когда предоставленные пользователем данные передаются интерпретатору как часть команды или запроса. * Переполнение буфера. Переполнение буфера происходит, когда приложение не имеет соответствующих ограничений при проверке буферного пространства. * Небезопасная передача данных. Приложения, которые не шифруют сетевой трафик с применением стойкой криптографии, подвергаются повышенному риску компрометации. * Некорректная обработка ошибок. Вследствие некорректной обработки ошибок в приложении может происходить непреднамеренная утечка информации о конфигурации и внутренних рабочих процессах, или же раскрытие закрытой информации. * Межсайтовый скриптинг (XSS). XSS происходит, когда приложение отправляет предоставленные пользователем данные в веб-браузер без предварительной проверки или шифрования этого содержимого. * Ошибки механизмов контроля доступа (например, небезопасные прямые ссылки на объекты, отсутствие ограничения доступа по URL, обход директорий и отсутствие ограничения прав доступа пользователя к функциям). * Подделка межсайтовых запросов (CSRF). 0. Постоянно управлять новыми угрозами и уязвимостями общедоступных веб-приложений и обеспечить этим приложениям защиту от известных атак одним из следующих методов: проверять общедоступное веб-приложение на наличие уязвимостей, используя методы или инструменты ручного или автоматизированного анализа защищенности приложений не реже одного раза в год, а также после внесения любых изменений; устанавливать автоматизированное техническое средство (например, межсетевой экран уровня веб-приложений) перед общедоступными веб-приложениями для непрерывной проверки всего трафика, предназначенное для обнаружения и предупреждения веб-атак. ### Требование 6. Ограничивать доступ к важной информации в соответствии со служебной необходимостью 1. Ограничить доступ к системным компонентам и ДДК только теми лицами, которым такой доступ требуется в соответствии с их служебными обязанностями. 0. Определить необходимые права доступа для каждой роли только тем набором прав, который минимально необходим им для выполнения своих должностных обязанностей. 0. Назначать права доступа согласно роли и должностным обязанностям конкретного работника. 0. Установить систему (или системы) контроля доступа к системным компонентам, которая ограничивает доступ в соответствии со служебной необходимостью пользователя и которая настроена запрещать все, что явным образом не разрешено. ### Требование 7. Идентифицировать и аутентифицировать доступ к системным компонентам. 1. Назначить всем пользователям уникальные учетные записи, прежде чем предоставить им доступ к системным компонентам. 0. Немедленно отзывать доступ у каждого уволенного пользователя. 0. Удалять и (или) блокировать неактивные учетные записи не позже чем через 90дней. 0. Управлять учетными записями, которые используются третьими сторонами для удаленного доступа, поддержки и обслуживания системных компонентов, следующим образом: включать только на необходимый промежуток времени и отключать, когда они не используются; вести мониторинг, когда они используются. 0. Блокировать идентификатор пользователя не более чем после шести неудачных попыток входа подряд. 0. Если сеанс был неактивен в течение 15 минут и больше, требовать у пользователя пройти повторную аутентификацию для возобновления работы терминала или сеанса. 0. Привести все учетные данные для аутентификации (например, пароли и (или) парольные фразы) к нечитаемому виду с использованием стойкой криптографии. 0. Обеспечить соответствие паролей и (или) парольных фраз следующим требованиям: длина пароля не менее семи символов; наличие в пароле и цифр, и букв. 0. Менять пароли и (или) парольные фразы пользователей, как минимум, один раз в 90дней. 0. Устанавливать каждому пользователю уникальные пароль и (или) парольную фразу для первоначального использования и при их сбросе, а также менять их сразу после первого использования. ### Требование 8. Отслеживать и вести мониторинг всего доступа к сетевым ресурсам и важной информации 1. Внедрить журналы регистрации событий, в которых любой доступ к системным компонентам привязывается к конкретному пользователю 0. Реализовать автоматизированные журналы регистрации событий на всех системных компонентах, чтобы можно было восстановить следующие события: все сеансы персонального доступа пользователей к важной информации; все действия, совершенные любым лицом с привилегиями суперпользователя (root) или администратора; доступ ко всем журналам регистрации событий;неуспешные попытки логического доступа. 0. Записывать в журналах регистрации событий для каждого события каждого системного компонента, как минимум, следующее: идентификатор пользователя; тип события; дата и время; успешное или неуспешное завершение события; источник события; идентификатор или название данных, системного компонента или ресурса, на которые воздействовало событие. 0. Защитить журналы регистрации событий от изменений. 0. Проверять журналы и события безопасности всех системных компонентов, чтобы выявлять аномалии или подозрительную активность. 0. Проверять не реже одногораза в день: журналы всех критичных системных компонентов; журналы всех серверов и системных компонентов, выполняющих функции безопасности (например, межсетевых экранов, систем обнаружения или предотвращения вторжений, серверов аутентификации, серверов перенаправления для электронной коммерции и т.д.). 0. Сохранять историю журналов регистрации событий не менее одного года, причем в оперативном доступе должна находиться история не менее чем за последние три месяца (например, в прямом доступе, в архиве, либо с возможностью восстановления из резервной копии) 0. Внедрить процесс своевременного обнаружения и отчетности об ошибках в критичных системах контроля безопасности, включая среди прочего ошибки. ### Требование 9. Регулярно тестировать системы и процессы безопасности 1. Внедрить процессы ежеквартальной проверки на наличие беспроводных точек доступа (802.11), а также выявления и идентификации санкционированных и несанкционированных беспроводных точек доступа. 0. Вести список санкционированных беспроводных точек доступа и документировать по ним служебное обоснование. 0. Внедрить процедуры реагирования на инцидент, заключающийся в обнаружении несанкционированных беспроводных точек доступа. 0. Проводить внешнее и внутреннее сканирование сети на наличие уязвимостей не реже одного раза в квартал,а также после значительных изменений в сети (например, установки новых системных компонентов, изменения топологии сети, изменения правил межсетевых экранов, обновления продуктов). 0. Внедрить методологию проведения тестирования на проникновение, которая: основана на общепринятых отраслевых подходах к проведению тестирования на проникновение (например, NISTSP800-115); охватывает весь периметр среды; включает тестированиекак снаружи сети, так и внутри сети 0. Проводить внешний и внутренний тесты на проникновение не реже одного раза в год и после любых значительных модификаций или обновлений инфраструктуры или приложений (например, обновления операционной системы, добавления подсети или веб-сервера к среде). 0. Устранять потенциально эксплуатируемые уязвимости, обнаруженные во время теста на проникновение, и повторить тест, чтобы проверить устранение. 0. Использовать методы обнаружения и(или) предотвращения вторжений для обнаружения и(или) предотвращения вторжения в сеть. Осуществлять мониторинг всего сетевого трафика по периметру среды с важной информацией и в критичных точках внутри среды ДДК, и оповещать работников оподозрениях на компрометацию. 0. Внедрить средство обнаружения изменений (например, мониторинг целостности файлов), чтобы уведомлять работников о несанкционированных изменениях (включая, изменения, добавления и удаления) критичных системных файлов, конфигурационных файлов или файлов данных. Настроить программное обеспечение так, чтобы оно сопоставляло критичные файлы не реже одного раза в неделю. 0. Гарантировать, что политики безопасности и операционные процедуры мониторинга и проверки безопасности документированы, используются и известны всем заинтересованным лицам. ### Требование 10. Поддерживать политику информационной безопасности для всех работников. 1. Разработать, опубликовать, поддерживать и распространять политику информационной безопасности. Пересматривать политику информационной безопасности не реже раза в год и обновлять в случае изменения среды организации. 0. Разработать политики использования критичных технологий и определить надлежащее пользование этих технологий. К критичным технологиям относятся среди прочего: технологии удаленного доступа, беспроводные технологии, ноутбуки, планшеты, съемные носители информации, электронная почта и сеть Интернет.