ГОСТ Р 56850—2015
Требование
источника:
Политика. NEMA/COCIR/JIRA Объединенный комитет по вопросам защиты и неприкосновен
ности частной жизни (Joint Security and Privacy).
Технический документ. Проект стандарта, рассматриваемого техническим комитетом: «Управ
ление сертификатами аутентификации компьютеров. 10 февраля. 2005» (Committee draft
White Paper: Management of Machine Authentication Certificates. 10 February 2005).
Проект политики защиты института SANS (институт системного администрирования, аудита,
сети и защиты) (SANS Security Policy Project).
Местная ИТ политика МО.
Стандарт HIPAA. Правило обеспечения защиты. § 164.312 Технические средства защиты, (а)
(1): «..Управление доступом. Реализовать техническую политику и процедурыдля электронных
информационных систем, которые поддерживают электронную защищенную информацию о
здоровье, для того, чтобы сделать возможным получение доступа только для тех личностей
или программного обеспечения, которому были предоставлены права доступа в соответствии с
§ 164.308. (a)(4)...»
Справочный
материал:
NIST SP 800-53 v3
АСЗ. Осуществление доступа (Access Enforcement) — механизмы осуществления доступа слу
жат организациям для управления доступом между пользователями и объектами
Зависит от:
AUDT, PAUT
Цель требований:
Политики аутентификации должны быть гибкими для того, чтобы адаптироваться к местной
ИТ политике МО. Требование аутентификации личности при предоставлении доступа к ЗА
ЩИЩЕННЫМ ДАННЫМ о ЗДОРОВЬЕ (PHI) должно быть логически обоснованным в каждом
конкретном случае.
Потребность
пользователя:
Возможность управлять учетными записями на медицинском оборудовании для обеспечения
защиты доступа к ЗАЩИЩШЕННЫМ ДАННЫМ о ЗДОРОВЬЕ (PHI).
Однократная идентификация и использование одного пароля для всех рабочих мест.
Поддержка идентификации узла согласно промышленным стандартам.
Обнаружение и предотвращение фальсификации личности/сущности (необходимо предоста
вить невозможность отказа от авторства).
ALOF. Автоматический выход из системы
Применение:
Стандарт. Нет.
Политика. Местная ИТ политика МО.
Требование
источника:
Стандарт HIPAA. Правило обеспечения защиты. § 164.312 Технические средства защиты.
(аХ1): «..Управление доступом. Реализовать техническую политику и процедуры для электрон
ных информационных систем, которые поддерживают электронную защищенную информацию о
здоровье, для того, чтобы сделать возможным получение доступа только для тех личностей или
программного обеспечения, которому были предоставлены права доступа в соответствии с §
164.308. (a)(4)...»
(2ХШ) (iii) Автоматический выход из системы (доступно). Необходимо реализовать электрон
ные процедуры, служащие для прекращения электронного сеанса по прошествии заранее за
данного времени бездействия.
NIST 800-53, Издание 3 — Дополнительное руководство. Блокировка сеанса является времен
ным действием, которая выполняется в том случав, если пользователь прекращает работу
и не осуществляет непосредственные действия с информационной системой, но не желает
выходить из системы (завершать сеанс) из-за того, что его отсутствие является временным.
АС-11 БЛОКИРОВКА СЕАНСА. Управление. Информационная система:
a. предотвращает дальнейший доступ к системе с помощью запуска блокировки сеанса после
[Установление периода времени, заданного организацией.) бездействия или при получении
запроса от пользователя; и
b
. сохраняет блокировку сеанса до тех пор. пока пользователь не восстановит доступ, исполь
зуя утвержденные процедуры идентификации и аутентификации.
Справочный
материал:
Нет.
Зависит от.
AUDT
39