7.8.1 Для обеспечения должного уровня защиты информации при использовании технологии виртуализации, организационные и технические меры, применяемые для защиты среды виртуализации, являются дополнительными и применяются в совокупности с иными мерами защиты информации, установленными настоящим стандартом. Дополнительные организационные и технические меры, применяемые для защиты среды виртуализации, определяются для следующих процессов (подпроцессов) защиты информации, перечисленных в 7.1.1 настоящего стандарта:
- идентификация, аутентификация, авторизация (разграничение доступа) при осуществлении логического доступа;
- сегментация и межсетевое экранирование вычислительных сетей.
7.8.2 Применяемые финансовой организацией меры по защите среды виртуализации должны обеспечивать:
- организацию идентификации, аутентификации, авторизации (разграничения доступа) при осуществлении логического доступа к виртуальным машинам и серверным компонентам виртуализации;
- организацию и контроль информационного взаимодействия и изоляции виртуальных машин;
- организацию защиты образов виртуальных машин;
- регистрацию событий защиты информации, связанных с доступом к виртуальным машинам и серверным компонентам виртуализации.
Примечание. Рекомендации по обеспечению информационной безопасности при использовании технологии виртуализации в рамках реализации банковских технологических процессов приведены в [16] и ГОСТ Р 56938.
7.8.3 Базовый состав мер по организации идентификации, аутентификации, авторизации (разграничения доступа) при осуществлении логического доступа к виртуальным машинам и серверным компонентам виртуализации применительно к уровням защиты информации приведен в таблице 41.
| Условное обозначение и номер меры | Содержание мер системы защиты информации | Уровень защиты информации | ||
|---|---|---|---|---|
| 3 | 2 | 1 | ||
| ЗСВ.1 | Разграничение и контроль осуществления одновременного доступа к виртуальным машинам с АРМ пользователей и эксплуатационного персонала только в пределах одного контура безопасности | Н | Т | Н |
| ЗСВ.2 | Разграничение и контроль осуществления одновременного доступа к виртуальным машинам с АРМ пользователей и эксплуатационного персонала только в пределах одного контура безопасности на уровне не выше третьего (сетевой) по семиуровневой стандартной модели взаимодействия открытых систем, определенной в ГОСТ Р ИСО/МЭК 7498-1 | Н | Н | Т |
| ЗСВ.3 | Разграничение и контроль осуществления одновременного доступа виртуальных машин к системе хранения данных в пределах контура безопасности | Н | Т | Н |
| ЗСВ.4 | Разграничение и контроль осуществления одновременного доступа виртуальных машин к системе хранения данных в пределах контура безопасности на уровне не выше третьего (сетевой) по семиуровневой стандартной модели взаимодействия открытых систем, определенной в ГОСТ Р ИСО/МЭК 7498-1 | Н | Н | Т |
| ЗСВ.5 | Идентификация и аутентификация пользователей серверными компонентами виртуализации и (или) средствами централизованных сервисов аутентификации при предоставлении доступа к виртуальным машинам | Т | Т | Т |
| ЗСВ.6 | Реализация необходимых методов предоставления доступа к виртуальным машинам, обеспечивающих возможность доступа с использованием одних аутентификационных данных только к одной виртуальной машине | Н | Т | Н |
| ЗСВ.7 | Реализация необходимых методов предоставления доступа к виртуальным машинам, обеспечивающих возможность доступа с использованием одних аутентификационных данных только к одной виртуальной машине с одного АРМ пользователя или эксплуатационного персонала | Н | Н | Т |
| ЗСВ.8 | Обеспечение возможности принудительной блокировки (выключения) установленной сессии работы пользователя с виртуальной машиной | Т | Т | Т |
| ЗСВ.9 | Контроль и протоколирование доступа эксплуатационного персонала к серверным компонентам виртуализации и системе хранения данных с реализацией двухфакторной аутентификации | Н | Т | Т |
| ЗСВ.10 | Размещение средств защиты информации, используемых для организации контроля и протоколирования доступа эксплуатационного персонала к серверным компонентам виртуализации и системе хранения данных на физических СВТ | Н | Т | Т |
| ЗСВ.11 | Реализация правил управления правами логического доступа, обеспечивающая запрет одновременного совмещения одним субъектом логического доступа следующих функций:
| Н | Н | Т |
| ЗСВ.12 | Размещение серверных и пользовательских компонентов АС на разных виртуальных машинах | Н | О | О |
7.8.4 Базовый состав мер по организации сегментации и межсетевого экранирования вычислительных сетей, предназначенных для размещения виртуальных машин и серверных компонент виртуализации, применительно к уровням защиты информации приведен в таблице 42.
| Условное обозначение и номер меры | Содержание мер системы защиты информации | Уровень защиты информации | ||
|---|---|---|---|---|
| 3 | 2 | 1 | ||
| ЗСВ.13 | Выделение в вычислительных сетях финансовой организации отдельных сегментов (групп сегментов), в том числе виртуальных, используемых для размещения совокупности виртуальных машин, предназначенных для размещения серверных компонент АС, включенных в разные контуры безопасности | Н | Т | Т |
| ЗСВ.14 | Выделение в вычислительных сетях финансовой организации отдельных сегментов (групп сегментов), в том числе виртуальных, используемых для размещения совокупности виртуальных машин, предназначенных для размещения АРМ пользователей и эксплуатационного персонала, включенных в разные контуры безопасности | Н | Т | Т |
| ЗСВ.15 | Организация информационного обмена между сегментами (группами сегментов) вычислительных сетей, определенных мерами ЗСВ.13 и ЗСВ.14 настоящей таблицы, физическим оборудованием (программно-аппаратным комплексом) и (или) программными средствами межсетевого экранирования, функционирующими на уровне гипервизора среды виртуализации | Н | Н | Т |
| ЗСВ.16 | Межсетевое экранирование сегментов (групп сегментов) вычислительных сетей, определенных мерами ЗСВ.13 и ЗСВ.14 настоящей таблицы, включая фильтрацию данных на сетевом и прикладном уровнях семиуровневой стандартной модели взаимодействия открытых систем, определенной в ГОСТ Р ИСО/МЭК 7498-1 | Н | Т | Т |
| ЗСВ.17 | Реализация и контроль информационного взаимодействия между сегментами (группами сегментов) вычислительных сетей мерами, указанными в пунктах ЗСВ.13 и ЗСВ.14 настоящей таблицы, в соответствии с установленными правилами и протоколами сетевого взаимодействия | Н | Т | Т |
| ЗСВ.18 | Реализация мер защиты информации ЗСВ. 15 — ЗСВ. 17 настоящей таблицы физическим оборудованием (программно-аппаратным комплексом) и (или) программными средствами межсетевого экранирования, функционирующих на уровне гипервизора среды виртуализации | Н | Н | Т |
| ЗСВ.19 | Организация и контроль информационного взаимодействия между виртуальными машинами разных АС в соответствии с установленными правилами и протоколами сетевого взаимодействия | Н | Н | Т |
| ЗСВ.20 | Исключение возможности информационного взаимодействия и переноса информации между сегментами вычислительных сетей, входящими в разные контуры безопасности, с использованием АРМ пользователей и эксплуатационного персонала, эксплуатируемых для осуществления доступа к виртуальным машинам разных контуров безопасности | Н | Т | Т |
| ЗСВ.21 | Выделение отдельных логических разделов системы хранения данных для каждого из контуров безопасности | Н | Т | Т |
| ЗСВ.22 | Выделение отдельных сегментов управления, в которых располагаются АРМ эксплуатационного персонала, используемые для выполнения задач администрирования серверных компонент виртуализации и системы хранения данных* | Н | Н | Т |
| * Допускается использование единых сегментов управления, выделяемых в рамках выполнения меры ЗСВ.22 и меры СМЭ.9 таблицы 13. | ||||
7.8.5 Базовый состав мер по организации защиты образов виртуальных машин применительно к уровням защиты информации приведен в таблице 43.
| Условное обозначение и номер меры | Содержание мер системы защиты информации | Уровень защиты информации | ||
|---|---|---|---|---|
| 3 | 2 | 1 | ||
| ЗСВ.23 | Регламентация и контроль выполнения:
| Н | О | О |
| ЗСВ.24 | Включение только в базовые образы виртуальных машин следующего ПО:
| Н | О | О |
| ЗСВ.25 | Отнесение каждой из виртуальных машин только к одному из контуров безопасности | Н | О | О |
| ЗСВ.26 | Контроль целостности, выполняемый при запуске (загрузке) виртуальной машины:
| Н | Н | Т |
| ЗСВ.27 | Запрет на копирование текущих образов виртуальных машин, использующих СКЗИ, с загруженными криптографическими ключами | О | О | О |
| ЗСВ.28 | Запрет на копирование текущих образов виртуальных машин, используемых для реализации технологии виртуализации АРМ пользователей | О | О | О |
| ЗСВ.29 | Запрет сохранения изменений, произведенных пользователями в процессе работы их виртуальных машин, в базовом образе виртуальных машин | Н | Н | Т |
| ЗСВ.30 | Контроль завершения сеанса работы пользователей с виртуальными машинами | Н | Т | Н |
| ЗСВ.31 | Контроль завершения сеанса работы пользователей с виртуальными машинами | Н | Н | Т |
7.8.6 Базовый состав мер по регистрации событий защиты информации, связанных с доступом к виртуальным машинам и серверным компонентам виртуализации, применительно к уровням защиты информации приведен в таблице 44.
| Условное обозначение и номер меры | Содержание мер системы защиты информации | Уровень защиты информации | ||
|---|---|---|---|---|
| 3 | 2 | 1 | ||
| ЗСВ.32 | Регистрация операций, связанных с запуском (остановкой) виртуальных машин | Т | Т | Т |
| ЗСВ.33 | Регистрация операций, связанных с изменением параметров настроек виртуальных сетевых сегментов, реализованных средствами гипервизора | Н | Т | Т |
| ЗСВ.34 | Регистрация операций, связанных с созданием и удалением виртуальных машин | Т | Т | Т |
| ЗСВ.35 | Регистрация операций, связанных с созданием, изменением, копированием, удалением базовых образов виртуальных машин | Т | Т | Т |
| ЗСВ.36 | Регистрация операций, связанных с копированием текущих образов виртуальных машин | Т | Т | Т |
| ЗСВ.37 | Регистрация операций, связанных с изменением прав логического доступа к серверным компонентам виртуализации | Т | Т | Т |
| ЗСВ.38 | Регистрация операций, связанных с изменением параметров настроек серверных компонентов виртуализации | Т | Т | Т |
| ЗСВ.39 | Регистрация операций, связанных с аутентификацией и авторизацией эксплуатационного персонала при осуществлении доступа к серверным компонентам виртуализации | Т | Т | Т |
| ЗСВ.40 | Регистрация операций, связанных с аутентификацией и авторизацией пользователей при осуществлении доступа к виртуальным машинам | Т | Т | Т |
| ЗСВ.41 | Регистрация операций, связанных с запуском (остановкой) ПО серверных компонент виртуализации | Н | Н | Т |
| ЗСВ.42 | Регистрация операций, связанных с изменением параметров настроек технических мер защиты информации, используемых для реализации контроля доступа к серверным компонентам виртуализации | Т | Т | Т |
| ЗСВ.43 | Регистрация операций, связанных с изменением настроек технических мер защиты информации, используемых для обеспечения защиты виртуальных машин | Т | Т | Т |
1) Меры по организации и контролю информационного взаимодействия и изоляции виртуальных машин применяются в совокупности с мерами по сегментации и межсетевому экранированию внутренних вычислительных сетей (см. меры СМЭ.1 — СМЭ. 13 таблицы 13).
к Оглавлению ГОСТ 57580.1-2017 | Назад | Вперед
