Приказ ФАС России от 04.09.2023 № 601/23

«Об утверждении регламента по выявлению, анализу и устранению уязвимостей в информационных системах, эксплуатируемых в ФАС России»

ПРИКАЗ

Во исполнение пункта 11.1 перечня поручений Заместителя Председателя Правительства Российской Федерации Д.Н. Чернышенко от 21.07.2023 № ДЧ-П10-8881 приказываю:

1. Утвердить регламент по выявлению, анализу и устранению уязвимостей в информационных системах, эксплуатируемых в ФАС России (далее — Регламент), согласно приложению к настоящему приказу.

2. Назначить ФБУ «ИТЦ ФАС России» (П.А. Мироненко) ответственным за исполнение Регламента.

3. Отделу информационной безопасности и цифровой трансформации ФАС России (А.А. Раченков) на постоянной основе осуществлять контроль за надлежащем исполнением Регламента.

4. Контроль исполнения настоящего приказа оставляю за собой.

I. Общие положения

1. Настоящий регламент определяет порядок выявления, анализа и устранения уязвимостей в информационных системах, эксплуатируемых в ФАС России.

2. Целью настоящего регламента является обеспечение безопасности и защиты информации, хранимой и обрабатываемой в информационных системах, эксплуатируемых в ФАС России.

3. Данный регламент должен учитываться при формировании договоров и технических заданий на эксплуатационную поддержку и сопровождение информационных систем ФАС России.

4. Требования по устранению уязвимостей должны быть закреплены за подрядной организацией в случае, если она обеспечивает техническую поддержку и (или) эксплуатацию информационной системы или ее части (модуля).

5. Действия по выявлению, анализу и устранению критичных уязвимостей осуществляются с учетом Руководства по организации процесса управления уязвимостями в органе (организации), утвержденного Федеральной службой по техническому и экспортному контролю (ФСТЭК России) 17 мая 2023 г.

II. Цели и задачи реализации процессов анализа защищенности и управления уязвимостями

6. Процессы анализа защищенности и управления уязвимостями реализуются в ФАС России в следующих целях:

формирование и поддержание в актуальном состоянии баз данных информационных активов ФАС России (далее — ИТ-активы);

минимизация возможности реализации рисков нарушения информационной безопасности;

обеспечение принятия оптимальных решений в ходе реализации иных процессов и работ по обеспечению информационной безопасности.

7. Процессы анализа защищенности и управления уязвимостями в ФАС России направлены на реализацию следующих задач:

инвентаризация ИТ-активов, включая информацию о составе технических средств и версии программного обеспечения, используемого в ФАС России;

определение критичности выявленных уязвимостей;

планирование мероприятий по устранению имеющихся уязвимостей на основании информации об их критичности.

III. Выявление уязвимостей

8. Выявление уязвимостей осуществляется на основании данных из следующих источников:

8.1 Внутренние источники:

системы управления информационной инфраструктурой (далее — ИТ-инфраструктура);

базы данных управления конфигурациями;

документация на информационные системы;

8.2. База данных уязвимостей, содержащаяся в Банке данных угроз безопасности информации (далее — БДУ) ФСТЭК России;

8.3 Внешние источники:

базы данных, содержащие сведения об известных уязвимостях;

официальные информационные ресурсы разработчиков программных и программно-аппаратных средств и исследователей в области информационной безопасности.

9. На этапе выявления уязвимостей выполняются операции, приведенные в таблице 1.

№ пп	Наименование операции	Описание операции
1.	Анализ информации об уязвимости	Анализ информации из различных источников с целью поиска актуальных и потенциальных уязвимостей и оценки их применимости к информационным системам ФАС России Агрегирование и корреляция собираемых данных об уязвимостях
2.	Оценка применимости уязвимости	На основе информации об объектах информационных систем и их состоянии определяется применимость уязвимости к информационным системам ФАС России с целью определения уязвимостей, не требующих дальнейшей обработки (не релевантных уязвимостей). Оценка применимости уязвимостей производится: 1) на основе анализа данных об ИТ-инфраструктуре; 2) на основе анализа данных о возможных объектах воздействия

10. Выявление уязвимостей осуществляется:

путем регулярного сканирования информационных систем ФАС России с использованием сканера безопасности;

на основании данных из различных источников информации, таких как Kaspersky Security Center, с последующей сверкой их с информацией из баз данных угроз и уязвимостей (fstec.ru и других);

в рамках аудита информационной безопасности;

сторонней организацией на основании договора.

11. В процессе выявления уязвимостей информационных систем с использованием сканера безопасности должны формироваться рекомендации по устранению уязвимостей. При ручной регистрации уязвимостей рекомендации по устранению заполняются вручную.

12. Работы по сканированию систем ФАС России сканером безопасности должны быть немедленно прекращены, если происходит сбой в работе какой-либо из информационных систем.

13. В случае установления сбоя во время сканирования систем ФАС России на предмет выявления уязвимостей работы по сканированию прекращаются и восстанавливается рабочее состояние систем.

IV. Анализ и оценка критичности уязвимостей

14. Оценка уязвимостей производится с целью определения уровня критичности уязвимостей применительно к информационным системам ФАС России.

15. На этапе оценки уязвимостей выполняются операции, приведенные в таблице 2.

№ пп	Наименование операции	Описание операции
1.	Получение информации об объектах, подверженных уязвимости	Получение выборки объектов информационных систем, подверженных уязвимости
2.	Определение уровня опасности уязвимости	Расчет базовой, контекстной и временной метрик по методике CVSS с использованием калькулятора CVSS V3 или V3.1, размещенного в БДУ ФСТЭК России
3.	Определение влияния на информационные системы	Определение влияния уязвимого компонента на защищенность информационных систем
4.	Расчет критичности уязвимости	Получение значений уровней критичности обнаруженных уязвимостей

16. Операции по определению уровня опасности уязвимости, ее влияния на информационные системы и расчету критичности уязвимости выполняются в соответствии с Методикой оценки уровня критичности уязвимостей программных и программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г.

V. Устранение уязвимостей

17. На этапе устранения уязвимостей принимаются меры, направленные на устранение или исключение возможности использования (эксплуатации) уязвимостей. При этом выполняются операции, представленные в таблице 3.

№ пп	Наименование операции	Описание операции
1.	Тестирование обновления	Выявление потенциально опасных функциональных возможностей, не задекларированных разработчиком программных, программно-аппаратных средств, в том числе политических баннеров, лозунгов, призывов и иной противоправной информации (далее — недекларированные возможности)
2.	Установка обновления в тестовом сегменте	Установка обновлений на выбранном тестовом сегменте информационной системы в целях определения влияния их установки на ее функционирование
3.	Принятие решения об установке обновления	В случае, если негативного влияния от установки обновления на выбранном сегменте системы не выявлено, принимается решение о его распространении в системе. В случае обнаружения негативного влияния от установки обновления на выбранном сегменте системы дальнейшее распространение обновления не осуществляется, при этом для нейтрализации уязвимости применяются компенсирующие меры защиты информации
4.	Разработка и реализация компенсирующих мер защиты информации	Разработка и применение компенсирующих мер защиты информации, которые применяются в связи с невозможностью установки обновления, обнаружением негативного влияния от установки обновления, а также в случае необходимости принятия мер до устранения уязвимости производителем К компенсирующим мерам защиты информации могут относиться: 1) организационные меры защиты информации; 2) настройка средств защиты информации; 3) анализ событий безопасности; 4) внесение изменений в ИТ-инфраструктуру.

18. Тестирование обновлений программных и программно-аппаратных средств осуществляется в соответствии с Методикой тестирования обновлений программных, программно-аппаратных средств, утвержденной ФСТЭК России 28 октября 2022 г., по решению ФАС России в случае отсутствия соответствующих результатов тестирования в БДУ ФСТЭК России.

19. При наличии соответствующих сведений могут быть использованы компенсирующие меры защиты информации, представленные в бюллетенях безопасности разработчиков программных, программно-аппаратных средств, а также в описаниях уязвимостей, опубликованных в БДУ ФСТЭК России.

20. Сроки устранения уязвимостей:

критический уровень опасности — до 24 часов;

высокий уровень опасности — до 7 дней;

средний уровень опасности — до 4 недель;

низкий уровень опасности — до 4 месяцев.

VI. Хранение данных о реализации процессов анализа защищенности и управления уязвимостями

21. Хранение информации об уязвимостях, выявленных сканером безопасности (далее — Информации), осуществляется в журналах учета уязвимостей.

22. Срок хранения Информации составляет не менее 6 месяцев за исключением информации относящейся к критической информационной инфраструктуре (далее — КИИ).

23. Срок хранения Информации, относящейся к КИИ, составляет 36 месяцев.

24. Хранение Информации об уязвимостях осуществляется в соответствии с рекомендациями ГОСТ 56545-2015 «Защита информации. Уязвимости информационных систем. Правила описания уязвимостей».

---