ГОСТ Р 56875-2016. Национальный стандарт Российской Федерации. Информационные технологии системы безопасности комплексные и интегрированные. Типовые требования к архитектуре и технологиям интеллектуальных систем мониторинга для обеспечения безопасности предприятий и территорий

11.6. Средства разграничения доступа

11.6.1 Средства разграничения доступа пользователей к материальным и информационным ресурсам предприятия должны обеспечивать:

- двухфакторную идентификацию и опознание (аутентификацию) зарегистрированных пользователей и при необходимости определение привязки к месту его нахождения;

- регистрацию действий пользователей по несанкционированному доступу к оборудованию и информационным ресурсам предприятия и их использованию;

- исключение и включение новых пользователей и объектов доступа, а также изменение полномочий пользователей;

- реакцию на попытки НСД, например сигнализацию, блокировку, восстановление после НСД;

- очистку оперативной памяти и рабочих областей на магнитных носителях после завершения работы пользователя с защищенными данными;

- контроль целостности баз данных информационных ресурсов и СРД.

11.6.2 Способы реализации СРД зависят от конкретных особенностей объектов мониторинга предприятия. Допускается применять следующие способы защиты и любые их сочетания:

- СРД, локализованная в программно-техническом комплексе (ядро защиты);

- СРД на уровне операционных систем, систем управления базами данных или прикладных программ;

- СРД в средствах реализации сетевых взаимодействий или на уровне приложений;

- использование криптографических преобразований или методов непосредственного контроля доступа;

- распределенная СРД;

- программная и (или) техническая реализация СРД;

- организация доступа уполномоченного лица к разрешенной информации, защищенной электронной подписью.

11.6.3 СРД и средства защиты информационных ресурсов предприятия должны обеспечивать конфиденциальность и целостность получаемой информации с учетом назначения, важности и специфики объектов мониторинга.

Примерами отдельных решений могут быть следующие:

- конфиденциальность и целостность передаваемой по сети информации путем криптографической обработки каждого сетевого пакета с помощью криптографических алгоритмов;

- аутентификация отдельного пользователя и реализация индивидуальных политик доступа к заданным компьютерам, прикладным программам обработки данных и к разделам баз данных;

- вход в защищенную сеть только для владельца легитимного криптоключа;

- выполнение требований стандартов безопасности IKE/IPsec с применением российских алгоритмов криптографического преобразования по ГОСТ 28147, ГОСТ Р 34.10 и ГОСТ Р 34.11.