Оператором персональных данных должны быть реализованы следующие функции по управлению установкой (инсталляцией) компонентов программного обеспечения информационной системы персональных данных (ИСПДн):
- определение компонентов программного обеспечения (состава и конфигурации), подлежащих установке в ИСПДн после загрузки операционной системы;
- настройка параметров установки компонентов программного обеспечения, обеспечивающая исключение установки (если осуществимо) компонентов программного обеспечения, использование которых не требуется для реализации информационной технологии ИСПДн (например, при запуске установщика можно выбрать или не выбрать определенные опции и, тем самым, разрешить или запретить установку соответствующих компонентов программного обеспечения);
- выбор конфигурации устанавливаемых компонентов программного обеспечения (в том числе конфигурации, предусматривающие включение в домен, или не включение в домен);
- контроль за установкой компонентов программного обеспечения (состав компонентов, параметры установки, конфигурация компонентов);
- определение и применение параметров настройки компонентов программного обеспечения, включая программные компоненты средств защиты информации, обеспечивающих реализацию мер защиты персональных данных, а также устранение возможных уязвимостей ИСПДн, приводящих к возникновению угроз безопасности персональных данных.
Правила и процедуры управления установкой (инсталляцией) компонентов программного обеспечения (в том числе управления составом и конфигурацией подлежащих установке компонентов программного обеспечения, параметрами установки, параметрами настройки компонентов программного обеспечения) регламентируются в организационно-распорядительных документах оператора персональных данных по защите персональных данных с учетом эксплуатационной документации.
Требования к усилению ОПС.2:
1) в ИСПДн должно обеспечиваться использование средств автоматизации для применения и контроля параметров настройки компонентов программного обеспечения, влияющих на безопасность персональных данных;
2) в ИСПДн должны быть реализованы автоматизированные механизмы реагирования на несанкционированное изменение параметров настройки компонентов программного обеспечения, влияющих на безопасность персональных данных, предусматривающие блокирование доступа к средству вычислительной техники и (или) персональным данным, автоматическое восстановление параметров настройки или другие действия, препятствующие несанкционированному доступу к персональным данным, который может быть получен вследствие несанкционированного изменения параметров настройки;
3) в ИСПДн должно обеспечиваться использование средств автоматизации для инсталляции и централизованного управления процессами инсталляции, в том числе с применением пакетов соответствующих дистрибутивов программного обеспечения.
Содержание базовой меры ОПС.2:
| Мера защиты персональных данных | Уровень защищенности персональных данных | |||
| 4 | 3 | 2 | 1 | |
| ОПС.2 | + | + | ||
| Усиление ОПС.2 | 1 | |||