ИАФ.4. Аутентификация устройств

Цель: Исключение доступа к информационным системам и содержащейся в них информации устройствам (программно-аппаратным средствам), не прошедшим процедуру аутентификации.

Требования к реализации: Аутентификация устройства должна проводиться после идентификации устройства и его регистрации в информационной системе.

Аутентификация для каждого устройства должна производиться при каждом запросе на его подключение к информационной системе и до начала информационного взаимодействия с ней.

Подключение к информационной системе устройств, не прошедших процедуру аутентификации, не допускается.

В информационной системе должны быть определены способ аутентификации устройств и применяемые протоколы аутентификации. В процессе аутентификации устройств должны использоваться поддерживаемые ими протоколы аутентификации (например, EAP, 802.1x, CMP, EST, ACME, MS-WSTEP, TLS, DTLS и другие протоколы аутентификации).

Аутентификация устройств обеспечивается применением входящих в состав информационной системы операционной системы, средств защиты информации от несанкционированного доступа. Реализация меры по аутентификации устройств достигается применением одного или совокупности программных, программно-аппаратных средств.

Требования к документированию: В эксплуатационной документации на информационную систему должны быть определены:

места размещения устройств, находящихся внутри информационной системы и за ее периметром;

способы аутентификации устройств;

действия администратора по настройке и контролю функционирования способов аутентификации устройств;

действия администратора в случае утери, поломки, вывода устройств из эксплуатации и (или) компрометации аутентификационной информации устройств;

правила и процедуры управления средствами аутентификации устройств;

порядок осуществления мероприятий по мониторингу и аудиту действий администраторов и пользователей, связанных с обслуживанием и жизненным циклом аутентификационной информации и средств аутентификации;

процедуры эксплуатации системы централизованного управления (при ее наличии).

Требования к усилению:

1) смена аутентификационных данных устройств не реже чем один раз в год;

2) реализация аутентификации устройств с использованием криптографических протоколов аутентификации;

3) реализация аутентификации с использованием третьей доверенной стороны (корпоративного центра сертификации);

4) использование системы централизованного управления жизненным циклом цифровых сертификатов, электронных идентификаторов, встроенных модулей безопасности.

Реализация в информационной системе: