Методические рекомендации по формированию требований к обеспечению информационной безопасности информационных систем и ресурсов города Москвы Москва, 2006 гСодержание2. Рекомендации по определению объекта защиты и категории защищаемой информации 306. Рекомендации по способам формирования и контроля уровня защиты ИСиР 761.Требования к видам обеспечения информационной безопасности ИСиР 1.1. Правовое, нормативное, методическое обеспечения ИБ1.2. Техническое обеспечение ИБ1.3. Организационное обеспечение ИБ2. Рекомендации по определению объекта защиты и категории защищаемой информации3. Рекомендации по описанию процесса обеспечения ИБ ИСиР3.1. Порядок формирования модели обеспечения ИБ3.2. Модели угроз3.3. Оценка применимости моделей угроз в задачах обеспечения ИБ ИСиР3.4. Модель защиты3.5. Показатели информационной безопасности3.6. Применение критериев оценки риска в модели обеспечения ИБ4. Рекомендации по определению уровня ИБ 4.1. Программирование уровня ИБ4.2. Способ определения и оценки класса защищенности объекта защиты от НСД по модели обеспечения ИБ4.3. Определение уровня информационной безопасности АС с использованием общих и частных показателей ИБ5. Рекомендации по заданию требований по уровню ИБ6. Рекомендации по способам формирования и контроля уровня защиты ИСиР 6.1. Рекомендации по формированию состава мер обеспеченияПревентивные мерыВосстановительные мерыПревентивные мерыПревентивные мерыПревентивные мерыВосстановительные мерыПревентивные мерыВосстановительные мерыПревентивные мерыПревентивные мерыВосстановительные мерыПревентивные мерыПревентивные мерыПревентивные мерыВосстановительные мерыПревентивные мерыПревентивные мерыПревентивные мерыВосстановительные мерыПревентивные мерыВосстановительные мерыПревентивные мерыВосстановительные мерыПревентивные мерыПревентивные мерыПревентивные мерыПревентивные мерыПревентивные мерыПревентивные мерыВосстановительные мерыПревентивные мерыПревентивные мерыПревентивные мерыПревентивные мерыПревентивные мерыПревентивные меры6.2. Способ проверки организации защиты информационных ресурсов ИСиР на основе требований нормативного обеспечения ИБПриложения П1.1. Свод задач государственной политики обеспечения информационной безопасности города МоскваП1.2. Задачи обеспечения информационной безопасности организации – владельца ИСиРП.2. Документы правового нормативного обеспечения информационной безопасностиП.3.1.Общий классификатор угроз безопасности информационно-коммуникационных технологийП4. Требования информационной безопасности2. Надёжная конфигурация программных средств3. Резервное копирование и архивирование4. Восстановление технических и программных средств5. Процедуры извещения об ошибках программных средств6. Выявление модификации7. Уникальная идентификация8. Аутентификация пользователей9. Ведение аутентификационных данных пользователей10. Защита аутентификационных данных пользователей11. Дополнительная защита аутентификационных данных пользователей12. Обработка отказов аутентификации13. Отбор паролей14. Генерация паролей15. Санкционирование по времени16. Ограничение сеансов17. Установление сеанса с системой18. Блокирование сеанса19. Принудительное завершение сеанса20. Блокирование сеанса по инициативе пользователя21. Контроль доступа к параметрам доступа22. Защищенный канал23. Привязка прав и привилегий пользователя к субъекту доступа24. Параметры управления доступом25. Управление доступом на основе прав и разрешений26. Дискреционное (избирательное) управление доступом27. Управление потоками информации28. Санкционирование доступа и отказ в доступе29. Задание общих прав и привилегий пользователей по умолчанию30. Ведение прав и привилегий пользователей31. Установка индивидуальных прав и привилегий пользователей32. Инициализация атрибутов33. Ограничение множества атрибутов34. Изменение атрибутов35. Запрос атрибутов администратором36. Запрос атрибутов пользователем37. Максимальные квоты38. Регистрация при работе с электронными документами39. Регистрация при работе с конфиденциальной информацией40. Авторизация пользователя41. Сопровождение системного журнала42. Управление переполнением системного журнала43. Доступ к системному журналу44. Анализ системного журнала45. Выборочная регистрация46. Оперативный выбор регистрации47. Оперативное отображение регистрируемых событий48. Постоянное хранение системного журнала49. Предотвращение потерь данных системного журнала50. Учёт носителей информации51. Защита остаточной информации52. Шифрование информации53. Ведение эталонов программ54. Проверка системных и прикладных программных средств55. Контроль целостности программ56. Тестирование вычислительных средств во время работы системы57. Тестирование средств безопасности во время работы58. Полное тестирование средств безопасности59. Сохранение безопасного состояния при сбое61. Защита от обхода средств безопасности62. Изолирование домена средств безопасности63. Устойчивость передаваемых данных средств безопасности64. Отделение ролей по администрированию средств безопасности65. Управляющие функции по безопасности66. Выявление аномалий67. Анализ угрожающего нарушения
