УПД.5

Назначение минимально необходимых прав и привилегий

№ 239 — УПД.5, № 21 — УПД.5, № 31 — УПД.5. В № 117 такой меры нет.

О чём эта мера

Пояснение составлено нами, это не текст приказа — в приказе формулировка меры исчерпывается её названием. Дословные формулировки по каждому приказу — ниже на этой странице.

Каждому субъекту выдаётся ровно то, без чего он не выполнит свои обязанности, и ничего сверх. № 21 распространяет требование не только на пользователей, но и на администраторов и на лиц, обеспечивающих функционирование системы.

Сюда входят разделение административных и пользовательских учётных записей одного человека, отказ от повседневной работы под привилегированной записью, отдельное решение по правам сервисных и технологических учётных записей, пересмотр прав при переводе внутри организации и периодическая сверка фактических прав с матрицей УПД.2.

Где обычно спотыкаются: права выдают «как у коллеги» и не отбирают при переводе — так появляется сотрудник с правами трёх отделов сразу. Сервисные же учётные записи заводят с правами администратора «чтобы заработало» и больше к ним не возвращаются. Меру часто смешивают с УПД.2: та задаёт правила разграничения, эта — объём прав конкретного субъекта внутри этих правил.

Текст меры по приказам

Одинаковый код в разных приказах не означает одинаковую меру. Например, ЗСВ.1 в № 117 — это «Доверенная загрузка», а в № 21 — «Идентификация и аутентификация». Поэтому текст меры приводится отдельно по каждому приказу.

№ 239 УПД.5 Требования по обеспечению безопасности значимых объектов КИИ

Назначение минимально необходимых прав и привилегий

Входит в базовый набор: 123

№ 117 Требования о защите информации в государственных информационных системах

Меры с таким смыслом в этом приказе нет. Если угроза, которую она закрывает, для системы актуальна, меру берут из другого источника. Это шаг 4 методики — дополнение базового набора.

№ 21 УПД.5 Меры по обеспечению безопасности персональных данных в ИСПДн

Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы

Входит в базовый набор: УЗ-1УЗ-2УЗ-3УЗ-4

№ 31 УПД.5 Требования к обеспечению защиты информации в АСУ ТП

Назначение минимально необходимых прав и привилегий

Входит в базовый набор: 123

Чем эту меру закрывают

Классы средств защиты, которыми мера реализуется на практике.

Это подсказка, а не требование приказа: класс средств защиты в тексте меры не назван, связь определена экспертным путём. Как читать эту привязку и почему здесь нет названий продуктов.

DCAP / DAG Находит чувствительные файлы на общих ресурсах, показывает, у кого к ним есть доступ, и протоколирует обращения.
DAM / DBF Разбирает обращения к СУБД, ведёт их журнал и блокирует запросы, выходящие за рамки разрешённых.
PIM / PAM / PUM Пропускает административные сессии через себя: выдаёт пароли по запросу, записывает работу и разделяет полномочия.
IdM / IGA Заводит, изменяет и блокирует учётные записи по кадровым событиям, реализует ролевую модель и пересматривает права.
СЗИ от НСД Наложенное средство на рабочей станции и сервере: разграничивает доступ к ресурсам, замыкает программную среду, контролирует носители и ведёт собственный журнал событий.
ОС в защищённом исполнении Операционная система, в которой разграничение доступа, замкнутая программная среда, изоляция процессов и журналирование встроены в ядро, а не добавлены наложенным средством.
Управление секретами Выдаёт приложениям учётные данные по запросу вместо хранения их в коде и конфигурационных файлах.
SSPM Проверяет настройки безопасности в готовых облачных приложениях и права выданных в них учётных записей.
DSPM Находит, где в облачных хранилищах лежат защищаемые данные, и у кого к ним есть доступ.

Какие угрозы закрывает

39 угроз БДУ, для которых эта мера входит в сопоставление. Обратный перечень считается из того же отображения «угроза → меры», по которому строится отчёт: второго перечня не существует.

Нужна не отдельная угроза, а модель угроз целиком?

Инструмент проводит систему по шагам методики оценки угроз ФСТЭК России от 05.02.2021: профиль системы, негативные последствия, модель нарушителя, выбор угроз, сценарии. На выходе — готовый документ с мерами защиты по выбранным приказам.

Зарегистрироваться Как это работает