Оператором персональных данных должно обеспечиваться обнаружение (предотвращение) вторжений (компьютерных атак), направленных на преднамеренный несанкционированный доступ к персональным данным, специальные воздействия на персональные данные (носители персональных данных) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней, с использованием систем обнаружения вторжений.
Применяемые системы обнаружения вторжений должны включать компоненты регистрации событий безопасности (датчики), компоненты анализа событий безопасности и распознавания компьютерных атак (анализаторы) и базу решающих правил, содержащую информацию о характерных признаках компьютерных атак.
Обнаружение (предотвращение) вторжений должно осуществляться на внешней границе информационной системы персональных данных (ИСПДн) (системы обнаружения вторжений уровня сети) и (или) на внутренних узлах (системы обнаружения вторжений уровня узла) сегментов ИСПДн (автоматизированных рабочих местах, серверах и иных узлах), определяемых оператором персональных данных.
Права по управлению (администрированию) системами обнаружения вторжений должны предоставляться только уполномоченным должностным лицам.
Системы обнаружения вторжений должны обеспечивать реагирование на обнаруженные и распознанные компьютерные атаки с учетом особенностей функционирования ИСПДн.
Правила и процедуры обнаружения (предотвращения) вторжений (компьютерных атак) регламентируются в организационно-распорядительных документах оператора персональных данных по защите персональных данных.
Требования к усилению СОВ.1:
1) оператором персональных данных обеспечивается применение систем обнаружения вторжений уровня сети, обеспечивающих сбор и анализ информации об информационных потоках, передаваемых в рамках сегмента (сегментов) ИСПДн;
2) в ИСПДн обеспечивается централизованное управление (администрирование) компонентами системы обнаружения вторжений, установленными в различных сегментах ИСПДн;
3) обнаружение и реагирование (уведомление администратора безопасности, блокирование трафика и иные действия по реагированию) на компьютерные атаки в масштабе времени, близком к реальному;
4) защита информации, собранной и сгенерированной системой обнаружения вторжений, от несанкционированного доступа, модификации и удаления;
5) оператором ИСПДн обеспечивается применение систем обнаружения вторжений уровня узла на автоматизированных рабочих местах и серверах ИСПДн;
6) оператором ИСПДн обеспечивается применение систем обнаружения вторжений на прикладном уровне базовой эталонной модели взаимосвязи открытых систем.
Содержание базовой меры СОВ.1:
| Мера защиты персональных данных | Уровень защищенности персональных данных | |||
| 4 | 3 | 2 | 1 | |
| СОВ.1 | + | + | ||
| Усиление СОВ.1 | 2 | 2 | ||