СОИБ. Анализ. Регистрация событий доступа.

После реализации ряда проектов связанных и использованием специализированных средств защиты приложений и БД стал задумываться - как без них удается реализовать требования по регистрации и аудиту доступа к защищаемым данным?

О необходимости такой таких мероприятий для эффективного обеспечения ИБ я писал в одной из предыдущих заметок.

Но кроме этого есть ещё требования законодательства:

·         149-ФЗ, Статья 16:

“4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:

2) своевременное обнаружение фактов несанкционированного доступа к информации;”

·         152-ФЗ, Статья 19:

“2. Обеспечение безопасности персональных данных достигается, в частности:

6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;

8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;”

·         ПП 781 (ПДн):

“11. При обработке персональных данных в информационной системе должно быть обеспечено: … б) своевременное обнаружение фактов несанкционированного доступа к персональным данным;

15. Запросы пользователей информационной системы на получение персональных данных, включая лиц, указанных в пункте 14 настоящего Положения, а также факты предоставления персональных данных по этим запросам регистрируются автоматизированными средствами информационной системы в электронном журнале обращений. Содержание электронного журнала обращений периодически проверяется соответствующими должностными лицами (работниками) оператора или уполномоченного лица.”

·         382-П ЦБ РФ (НПС):

“2.4.3. Оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают контроль и регистрацию действий лиц, которым назначены роли, определенные в подпункте 2.4.1 настоящего пункта.

2.6.3. При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 настоящего пункта  оператор по переводу денежных средств, банковский платежный агент (субагент), оператор услуг платежной инфраструктуры обеспечивают: …

регистрацию действий при осуществлении доступа своих работников к защищаемой информации;

…При осуществлении доступа к защищаемой информации, находящейся на объектах информационной инфраструктуры, указанных в подпункте 2.6.1 настоящего пункта, оператор по переводу денежных средств обеспечивает регистрацию действий с информацией о банковских счетах, включая операции открытия и закрытия банковских счетов.”

Для целей своевременного обнаружения фактов несанкционированного доступа к защищаемой информации,  расследования инцидентов ИБ и выполнения требований  у нас есть необходимость регистрировать все действия с защищаемой информацией, иметь возможность оперативного мониторинга/аудита и желательно автоматизированной реакции.

Но что такое защищаемая информация в корпоративных приложениях? Сколько существует возможных способов доступа к одной и той же информации (Через окно1 приложения, через окно 2 приложения, через сочетание нескольких окон приложения, через удаленные запросы к СУБД, через локальные запросы к СУБД, через временные файлы хранящиеся на сервере)? Какие действия может совершить пользователь или администратор во всех этих случаях?

 Регистрирует ли наше приложение все действия всех лиц при всех способах доступа к защищаемой информации? Есть ли в приложении или СУБД возможность оперативно просматривать и контролировать данные события? Есть ли возможность автоматического анализа и реагирования? Во всех ли наших корпоративных приложениях и СУБД это выполняется?  

Если мы ответили положительно не на все вопросы, то приходим к выводу что не можем выполнить поставленные цели.

Решение в данном случае будет применение дополнительных систем защиты: защиты приложений, защиты БД, SIMS и т.п, которые добавят необходимые функции для наших объектов защиты.