X.1. Мониторинг состояния обеспечения безопасности информации

Мониторинг обеспечения безопасности информации проводится с целью объективного подтверждения реального состояния защищенности ИС ФНС России, а также с целью контроля работоспособности механизмов СОБИ, мониторинга сетевой топологии ИС и установленных сервисов, анализа трафика информационного обмена для обнаружения и протоколирования сетевых событий, сбора критичной информации и обнаружения уязвимостей для предотвращения инцидентов, обнаружения вторжений и аномальной активности пользователей ИС ФНС России.

Мониторинг осуществляется силами и средствами СУИБ ФНС России и его исполнительного механизма - ЦУБИ (ВЦ ФНС России). Процедуры мониторинга необходимы для создания гарантированной безопасной среды, в которой пользователи ИС ФНС России, выполняют только те действия, которые они уполномочены выполнять.

Мониторинг предполагает постоянное наблюдение за состоянием ИС ФНС России, анализа полученных данных и прогнозирования возможных критичных изменений состояния безопасности информации, возникновения инцидентов и нарушений режима защиты ИР ФНС России.

Для анализа трафика информационного обмена, обнаружения сетевых событий, сбора критичной информации, обнаружения аномальной активности пользователей ИС ФНС России, идентификации ошибок и нарушений, установленных режимов защиты информации, должны использоваться журналы мониторинга (журналы оператора, администратора, системный журнал и журнал регистрации ошибок, лог-файлы). Контроль (обзор) журналов мониторинга позволяет собирать статистику нарушений и/или отклонений в эксплуатации ИС ФНС России от заданного режима функционирования, определять способы локализации проблем и недопущения нарушений в дальнейшем.

Журналы мониторинга должны создаваться и сохраняться в течение установленного периода времени. Журналы мониторинга, содержащие записи пользовательских действий, регистрирующие исключения, ошибки и другие информационные события, в том числе и сообщения от СиЗИ и ППО, должны использоваться в ходе проводимых расследований инцидентов, нарушений правил доступа и использования ИТ-инфраструктуры ФНС России. Данные журналов мониторинга могут содержать конфиденциальную информацию и другие защищаемые сведения, как о легальных процессах и пользователях ИТ-инфраструктуры ФНС России, так и о нарушителях. Средства регистрации событий и ведения журналов мониторинга должны быть защищены от вмешательства в их работу и возможностей получения к ним несанкционированного доступа.

Попытки внешних атак на ИС ФНС России должны выявляться, регистрироваться и предупреждаться с использованием сертифицированных средств защиты, централизованно управляемых Ведомственным центром ФНС России. Сведения о зарегистрированных атаках на ИС ФНС России в рамках соответствующего соглашения с ФСБ России должны направляться в государственную систему обнаружения и предупреждения компьютерных атак (ГосСОПКА).