Оператором персональных данных должны осуществляться выявление (поиск), анализ и устранение уязвимостей в информационной системе персональных данных (ИСПДн).
При выявлении (поиске), анализе и устранении уязвимостей в ИСПДн должны проводиться:
- выявление (поиск) уязвимостей, связанных с ошибками кода в программном (микропрограммном) обеспечении (общесистемном, прикладном, специальном), а также программном обеспечении средств защиты информации, правильностью установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректностью работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением;
- разработка по результатам выявления (поиска) уязвимостей отчетов с описанием выявленных уязвимостей и планом мероприятий по их устранению;
- анализ отчетов с результатами поиска уязвимостей и оценки достаточности реализованных мер защиты персональных данных;
- устранение выявленных уязвимостей, в том числе путем установки обновлений программного обеспечения средств защиты информации, общесистемного программного обеспечения, прикладного программного обеспечения или микропрограммного обеспечения технических средств;
- информирование должностных лиц оператора персональных данных (пользователей, администраторов, подразделения по защите информации) о результатах поиска уязвимостей и оценки достаточности реализованных мер защиты персональных данных.
В качестве источников информации об уязвимостях используются опубликованные данные разработчиков средств защиты информации, общесистемного, прикладного и специального программного обеспечения, технических средств, а также другие базы данных уязвимостей.
Выявление (поиск), анализ и устранение уязвимостей должны проводиться на этапах создания и эксплуатации ИСПДн. На этапе эксплуатации поиск и анализ уязвимостей проводится с периодичностью, установленной оператором персональных данных. При этом в обязательном порядке для критических уязвимостей проводится поиск и анализ уязвимостей в случае опубликования в общедоступных источниках информации о новых уязвимостях в средствах защиты информации, технических средствах и программном обеспечении, применяемом в ИСПДн.
В случае невозможности устранения выявленных уязвимостей путем установки обновлений программного обеспечения средств защиты информации, общесистемного программного обеспечения, прикладного программного обеспечения или микропрограммного обеспечения технических средств необходимо предпринять действия (настройки средств защиты информации, изменение режима и порядка использования ИСПДн), направленные на устранение возможности использования выявленных уязвимостей.
Оператором должны осуществляться получение из доверенных источников и установка обновлений базы признаков уязвимостей.
Правила и процедуры выявления, анализа и устранения уязвимостей регламентируются в организационно-распорядительных документах оператора персональных данных по защите персональных данных.
Требования к усилению АНЗ.1:
1) оператором персональных данных обеспечивается использование для выявления (поиска) уязвимостей средств анализа (контроля) защищенности (сканеров безопасности), имеющих стандартизованные (унифицированные) в соответствии с национальными стандартами описание и перечни программно-аппаратных платформ, уязвимостей программного обеспечения, ошибочных конфигураций, правил описания уязвимостей, проверочных списков, процедур тестирования и языка тестирования ИСПДн на наличие уязвимостей, оценки последствий уязвимостей, имеющих возможность оперативного обновления базы данных выявляемых уязвимостей;
2) оператор персональных данных должен уточнять перечень сканируемых в ИСПДн уязвимостей с установленной им периодичностью, а также после появления информации о новых уязвимостях;
3) оператором персональных данных определяется информация об ИСПДн, которая может стать известной нарушителям и использована ими для эксплуатации уязвимостей (в том числе уязвимостей «нулевого дня» - уязвимостей, описание которых отсутствует в базах данных разработчиков средств защиты информации, общесистемного, прикладного и специального программного обеспечения, технических средств), и принимаются меры по снижению (исключению) последствий от эксплуатации нарушителями неустранимых уязвимостей;
4) оператором персональных данных предоставляется доступ только администраторам к функциям выявления (поиска) уязвимостей (предоставление такой возможности только администраторам безопасности);
5) оператором персональных данных применяются автоматизированные средства для сравнения результатов сканирования уязвимостей в разные периоды времени для анализа изменения количества и классов (типов) уязвимостей в ИСПДн;
6) оператором персональных данных применяются автоматизированные средства для обнаружения в ИСПДн неразрешенного программного обеспечения (компонентов программного обеспечения) и уведомления об этом уполномоченных должностных лиц (администратора безопасности);
7) оператором персональных данных проводится анализ журналов регистрации событий безопасности (журнала аудита) в целях определения, были ли выявленные уязвимости ранее использованы в ИСПДн для нарушения безопасности персональных данных;
8) оператором персональных данных обеспечивается проведение выявления уязвимостей «нулевого дня», о которых стало известно, но информация о которых не включена в сканеры уязвимостей;
9) оператором персональных данных обеспечивается проведение выявления новых уязвимостей, информация о которых не опубликована в общедоступных источниках;
10) оператором персональных данных должно осуществляться выявление (поиск) уязвимостей в ИСПДн с использованием учетных записей на сканируемых ресурсах;
11) оператором персональных данных должно использоваться тестирование ИСПДн на проникновение.
Содержание базовой меры АНЗ.1:
| Мера защиты персональных данных | Уровень защищенности персональных данных | |||
| 4 | 3 | 2 | 1 | |
| АНЗ.1 | + | + | + | |
| Усиление АНЗ.1 | 1, 4 | 1, 2, 4 | 1, 2, 4, 7 | |