ПУБЛИКАЦИИ
Security Capsule SIEM и приказ ФСТЭК России №117: какие требования помогает выполнить SIEM-система
Разбираем, какие требования приказа ФСТЭК России №117 связаны с мониторингом информационной безопасности, регистрацией событий, выявлением угроз и расследованием инцидентов, а также показываем, как Security Capsule SIEM помогает выполнять эти требования на практике.
Приказ №117 содержит как организационные, так и технические требования к защите информации. Для многих организаций ключевое значение имеют процессы мониторинга ИБ, регистрации событий безопасности, выявления признаков угроз и сопровождения инцидентов. Именно в этих областях возможности SIEM-системы оказываются наиболее востребованными.
ГДЕ SC SIEM НАИБОЛЕЕ СИЛЬНО СООТВЕТСТВУЕТ ПРИКАЗУ №117
Security Capsule SIEM наиболее полно помогает выполнять требования приказа №117 в части мониторинга информационной безопасности, централизованного сбора и анализа событий безопасности, выявления признаков реализации угроз, регистрации и расследования инцидентов, контроля действий пользователей и привилегированных учетных записей, работы с уязвимостями, ретроспективного анализа и формирования отчетности.
Возможности платформы соответствуют назначению SC SIEM как системы регистрации, учета, анализа и корреляции событий информационной безопасности для выявления инцидентов и поддержки процессов мониторинга.
Решение может использоваться в государственных информационных системах, информационных системах персональных данных, АСУ ТП, объектах критической информационной инфраструктуры и других инфраструктурах, где требуется централизованный контроль событий безопасности.
Мониторинг ИБ, корреляция событий, выявление инцидентов, контроль действий пользователей, работа с уязвимостями и аналитическая поддержка специалистов ИБ.
ВАЖНО ПОНИМАТЬ ГРАНИЦЫ SIEM-СИСТЕМЫ
Приказ №117 включает не только требования к мониторингу и регистрации событий безопасности, но и широкий набор организационных, режимных и инфраструктурных мер защиты.
SC SIEM не заменяет организационные документы оператора, аттестацию информационной системы, физическую защиту, средства защиты каналов связи, анти-DDoS, антивирусную защиту, межсетевые экраны, PAM, MDM, WAF/API Security и другие специализированные средства защиты. В этих частях система выступает как средство мониторинга, контроля, корреляции и формирования доказательной базы.
SIEM помогает выполнять требования мониторинга и контроля, но не заменяет комплексную систему защиты информации и организационные меры безопасности.
КАКИМ ТРЕБОВАНИЯМ ПРИКАЗА №117 ПОМОГАЕТ СООТВЕТСТВОВАТЬ SC SIEM
В таблице ниже приведено сопоставление ключевых требований приказа ФСТЭК России №117 с возможностями Security Capsule SIEM. Статус «Закрывает» означает прямое соответствие в части функциональности SIEM. Статусы «Частично» и «Поддерживает» используются для требований, где необходимы дополнительные организационные меры или специализированные средства защиты.
| Пункт приказа №117 | Требование | Как помогает SC SIEM | Статус |
|---|---|---|---|
| п.14 «г» | Сбор, регистрация и анализ событий безопасности. | Централизованный сбор, хранение, анализ и корреляция событий ИБ. | Закрывает |
| п.14 «д» | Регламенты мониторинга ИБ и управления уязвимостями. | Предоставляет техническую основу для мониторинга и анализа событий. | Частично |
| п.23 | Средства мониторинга ИБ, выявления угроз и аналитической поддержки. | Мониторинг, корреляция событий, выявление инцидентов и работа с уязвимостями. | Закрывает |
| п.36 | Поиск признаков угроз и оповещение ответственных подразделений. | Выявление инцидентов, приоритизация и уведомление операторов. | Закрывает |
| п.37 | Контроль изменений конфигураций. | Контроль событий изменений в AD, GPO и подключенных системах. | Частично |
| п.38 | Управление уязвимостями. | Отображение уязвимостей, критичности и затронутых активов. | Частично |
| п.39 | Контроль обновлений. | Мониторинг событий обновления и связанных инцидентов. | Поддерживает |
| п.40 | Регистрация фактов доступа. | Сбор событий доступа от ОС, СУБД, СЗИ и инфраструктурных систем. | Частично |
| п.41 | Мониторинг процессов и событий на конечных устройствах. | Контроль процессов, файловых операций и сетевой активности. | Закрывает |
| п.48 | Контроль действий привилегированных пользователей. | Сбор и анализ событий привилегированных действий. | Частично |
| п.49 | Мониторинг ИБ и анализ событий безопасности. | Основное назначение SC SIEM. | Закрывает |
| п.49 | Формирование отчетности. | Отчеты, дашборды, статистика и аналитика. | Закрывает |
| п.49 | Использование ИИ для анализа событий безопасности. | ИИ-ассистент помогает анализировать события и инциденты. | Частично |
| п.52–55 | Отказоустойчивость и восстановление. | Поддержка масштабирования и контроля работоспособности компонентов. | Частично |
| п.58 | Контроль доступа подрядчиков. | Мониторинг действий учетных записей и подключений. | Поддерживает |
| п.59 | Выявление атак и взаимодействие с ГосСОПКА. | Выявление сетевых инцидентов и поддержка процессов реагирования. | Частично |
| п.60–61 | Контроль применения технологий ИИ. | Использование локальных и встроенных ИИ-механизмов поддержки аналитика. | Частично |
| п.62–63 | Регистрация событий безопасности и мониторинг. | Ролевой доступ, регистрация событий и мониторинг ИБ. | Закрывает |
| п.65 | Аттестация информационной системы. | Может использоваться как элемент системы защиты информации. | Поддерживает |
| п.66–67 | Контроль защищенности и анализ результатов. | Предоставляет данные мониторинга, инциденты и отчеты. | Частично |
| п.70 | Применение наложенных средств защиты. | Используется как средство мониторинга и корреляции событий. | Закрывает |
| п.71–72 | Использование сертифицированных средств защиты. | SC SIEM сертифицирована ФСТЭК России. | Закрывает |
ЭКСПЕРТНЫЙ ВЫВОД
Наиболее сильная сторона Security Capsule SIEM в контексте приказа №117 — выполнение требований, связанных с мониторингом информационной безопасности, регистрацией событий, выявлением угроз, расследованием инцидентов и аналитической поддержкой специалистов ИБ.
При этом выполнение требований приказа должно рассматриваться как комплексная задача, включающая организационные меры, специализированные средства защиты и процессы управления безопасностью. SC SIEM является одним из ключевых элементов такой системы, обеспечивая централизованный контроль и анализ событий безопасности.
SC SIEM помогает выполнять требования приказа №117 прежде всего в части мониторинга ИБ, выявления инцидентов, анализа событий безопасности и формирования отчетности.
