№ 239
ОЦЛ.3
Требования по обеспечению безопасности значимых объектов КИИ
Ограничения по вводу информации в информационную (автоматизированную) систему
Входит в базовый набор: 1
ОЦЛ.3
Ограничения по вводу информации в информационную (автоматизированную) систему
№ 239 — ОЦЛ.3, № 21 — ОЦЛ.6, № 31 — ОЦЛ.3. В № 117 такой меры нет.
О чём эта мера
Пояснение составлено нами, это не текст приказа — в приказе формулировка меры исчерпывается её названием. Дословные формулировки по каждому приказу — ниже на этой странице.
Мера ограничивает не значение вводимых данных, а право их вводить: определяется круг лиц, которым ввод разрешён, и состав информации, которую каждый из них вводит. В № 21 та же мера названа иначе — ОЦЛ.6 «Ограничение прав пользователей по вводу информации».
На практике это разграничение прав на ввод по ролям (кто заводит операцию, кто нормативно-справочную информацию, кто справочники), ограничение массовой загрузки и импорта, отдельные права на изменение уже введённого. Прямой доступ к СУБД закрывается правилами УПД.2, а здесь фиксируется, что ввод минуя приложение не считается разрешённым.
Где обычно спотыкаются: меру пропускают как дубль — то УПД.2, то ОЦЛ.4. Разница в предмете: УПД.2 задаёт доступ к объекту, ОЦЛ.4 проверяет корректность значения, а здесь ограничивается состав информации, которую субъект вправе вводить. И осторожно с кодом: ОЦЛ.3 в № 21 — это другая мера, восстановление программного обеспечения.
Текст меры по приказам
Одинаковый код в разных приказах не означает одинаковую меру. Например, ЗСВ.1 в № 117 — это «Доверенная загрузка», а в № 21 — «Идентификация и аутентификация». Поэтому текст меры приводится отдельно по каждому приказу.
№ 117
Требования о защите информации в государственных информационных системах
Меры с таким смыслом в этом приказе нет. Если угроза, которую она закрывает, для системы актуальна, меру берут из другого источника. Это шаг 4 методики — дополнение базового набора.
№ 21
ОЦЛ.6
Меры по обеспечению безопасности персональных данных в ИСПДн
Ограничение прав пользователей по вводу информации в информационную систему
В базовый набор ни одного класса не входит. Мера применяется при адаптации набора под конкретные угрозы.
№ 31
ОЦЛ.3
Требования к обеспечению защиты информации в АСУ ТП
Ограничения по вводу информации в информационную (автоматизированную) систему
Входит в базовый набор: 1
Чем эту меру закрывают
Классы средств защиты, которыми мера реализуется на практике.
Это подсказка, а не требование приказа: класс средств защиты в тексте меры не назван, связь определена экспертным путём. Как читать эту привязку и почему здесь нет названий продуктов.
- DAM / DBF Разбирает обращения к СУБД, ведёт их журнал и блокирует запросы, выходящие за рамки разрешённых.
- WAF Фильтрует запросы к веб-приложению, отсекая инъекции и иные атаки на прикладном уровне.
- Фильтрация запросов к LLM Проверяет запросы и ответы модели: отсекает внедрение инструкций и не выпускает защищаемые данные в промпт.
Какие угрозы закрывает
1 угроза БДУ, для которых эта мера входит в сопоставление. Обратный перечень считается из того же отображения «угроза → меры», по которому строится отчёт: второго перечня не существует.
Нужна не отдельная угроза, а модель угроз целиком?
Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.