РСБ.4. Требования к сбору, хранению и защите данных о событиях безопасности

Цель: Обеспечение хранения и защиты данных о событиях безопасности от несанкционированного доступа.

Требования к реализации: В информационной системе должны осуществляться сбор, запись и хранение информации о событиях безопасности в течение установленного оператором времени хранения информации о событиях безопасности.

Сбор, запись и хранение информации о событиях безопасности должны предусматривать:

возможность выбора администратором безопасности событий безопасности, подлежащих регистрации в текущий момент времени, из перечня типов событий безопасности, определенных в соответствии с мерой защиты информации РСБ.1;

формирование (сбор, запись) записей типов событий безопасности, подлежащих регистрации;

хранение информации о событиях безопасности в течение времени, установленного оператором информационной системы.

Объем памяти для хранения информации о событиях безопасности должен быть рассчитан и выделен с учетом типов событий безопасности, состава и содержания информации о событиях безопасности, подлежащих регистрации, а также срока хранения информации о зарегистрированных событиях безопасности.

В информационной системе должна обеспечиваться защита информации о событиях безопасности, регистрируемых в информационной системе в соответствии с настоящим методическим документом.

Требования к документированию: В эксплуатационной документации на информационную систему должны быть определены:

типы событий безопасности, подлежащие регистрации в заданный момент времени, из перечня типов событий безопасности, определенных в соответствии с мерой защиты информации РСБ.1;

порядок хранения сведений о событиях безопасности, в том числе требования к местам хранения сведений о событиях безопасности и периоду времени хранения информации о событиях безопасности.

Требования к усилению:

1) в информационной системе должно быть обеспечено централизованное автоматизированное управление сбором, записью и хранением информации о событиях безопасности;

2) в информационной системе должно быть обеспечено объединение информации из записей регистрации событий безопасности, полученной от разных технических средств (устройств), программного обеспечения информационной системы, в единый логический или физический журнал аудита с корреляцией информации по времени для своевременного выявления инцидентов и реагирования на них;

3) в информационной системе должно быть обеспечено хранение копий записей системных журналов и записей о событиях безопасности в обособленном хранилище, физически отделенном от иных технических средств, входящих в состав информационной системы;

4) в информационной системе должно быть обеспечено резервное копирование записей регистрации (аудита);

5) в информационной системе для обеспечения целостности информации о зарегистрированных событиях безопасности должны применяться в соответствии с законодательством Российской Федерации криптографические методы.

Реализация в информационной системе: