ПРИКАЗ ОАЦ № 66 · ПРИЛОЖЕНИЕ 3
Требования Приказа ОАЦ № 66: полная таблица и практические разборы
Требования Приказа ОАЦ № 66 сведены на этой странице в полную матрицу обязательности по классам типовых информационных систем. Номер каждого пункта и кнопка в последнем столбце ведут к отдельной статье GuardCore с объяснением смысла требования, вариантов реализации, проверочных действий и типичных ошибок.
Матрица воспроизводит приложение 3 к Положению в редакции приказа ОАЦ от 10.12.2024 № 259. Приказ ОАЦ от 27.05.2026 № 98 изменил отдельные положения приказа № 66, но не изменил таблицу приложения 3.
51
требование в семи разделах
+
обязательное требование для класса
+/−
рекомендуемое требование
8
групп классов в нормативной таблице
| Пункт | Наименование требования | 4-ин 4-спец |
4-бг | 4-юл | 4-дсп | 3-ин 3-спец |
3-бг | 3-юл | 3-дсп | Статья |
|---|---|---|---|---|---|---|---|---|---|---|
| 1. Аудит безопасности | ||||||||||
| 1.1 | определение состава сведений о событиях информационной безопасности, подлежащих регистрации | + | + | + | + | + | + | + | + | Открыть |
| 1.2 | обеспечение сбора и хранения сведений о событиях информационной безопасности в течение установленного срока хранения, но не менее одного года | + | + | + | + | + | + | + | + | Открыть |
| 1.3 | обеспечение централизованного сбора и хранения сведений о событиях информационной безопасности в течение установленного срока хранения, но не менее одного года | +/− | + | +/− | +/− | + | + | + | + | Открыть |
| 1.4 | определение способа (просмотр, анализ) и периодичности мониторинга событий информационной безопасности уполномоченными на это пользователями информационной системы | + | + | + | + | + | + | + | + | Открыть |
| 1.5 | обеспечение сбора и хранения информации о функционировании средств вычислительной техники, телекоммуникационного оборудования и средств защиты информации в течение установленного срока хранения, но не менее одного года | + | + | + | + | + | + | + | + | Открыть |
| 2. Требования по обеспечению защиты информации | ||||||||||
| 2.1 | регламентация порядка использования в информационной системе съемных носителей информации, мобильных технических средств и контроля за таким использованием | + | + | + | + | + | + | + | + | Открыть |
| 2.2 | обеспечение контроля за работоспособностью, параметрами настройки и правильностью функционирования средств вычислительной техники, телекоммуникационного оборудования, системного программного обеспечения и средств защиты информации | + | + | + | + | + | + | + | + | Открыть |
| 2.3 | обеспечение защиты от несанкционированного доступа к резервным копиям, параметрам настройки телекоммуникационного оборудования, системного программного обеспечения, средств защиты информации и событиям безопасности | + | + | + | + | + | + | + | + | Открыть |
| 3. Требования по обеспечению идентификации и аутентификации | ||||||||||
| 3.1 | обеспечение разграничения доступа пользователей к средствам вычислительной техники, телекоммуникационному оборудованию, системному и прикладному программному обеспечению и средствам защиты информации | + | + | + | + | + | + | + | + | Открыть |
| 3.2 | обеспечение идентификации и аутентификации пользователей активов информационной системы, средств защиты информации | + | + | + | + | + | + | + | + | Открыть |
| 3.3 | обеспечение защиты обратной связи при вводе аутентификационной информации | + | + | + | + | + | + | + | + | Открыть |
| 3.4 | обеспечение полномочного управления (создание, активация, блокировка и уничтожение) учетными записями пользователей информационной системы | + | + | + | + | + | + | + | + | Открыть |
| 3.5 | обеспечение контроля за соблюдением правил генерации и смены паролей пользователей информационной системы | + | + | + | + | + | + | + | + | Открыть |
| 3.6 | обеспечение централизованного управления учетными записями пользователей информационной системы | +/− | +/− | +/− | +/− | +/− | + | + | + | Открыть |
| 3.7 | обеспечение блокировки доступа к активам информационной системы, средствам защиты информации после истечения установленного времени бездействия (неактивности) пользователя информационной системы или по его запросу | + | + | + | + | + | + | + | + | Открыть |
| 4. Требования по защите системы защиты информации информационной системы | ||||||||||
| 4.1 | изменение установленных по умолчанию реквизитов доступа к активам информационной системы, средствам защиты информации либо блокирование возможности их использования | + | + | + | + | + | + | + | + | Открыть |
| 4.2 | обеспечение замены или модернизации активов информационной системы, средств защиты информации после истечения установленного для них срока эксплуатации, за исключением случаев, влекущих прекращение функционирования этих активов и средств | + | + | + | + | + | + | + | + | Открыть |
| 4.3 | обеспечение контроля и управления физическим доступом в помещения, в которых постоянно размещаются активы информационной системы, средства защиты информации | + | + | + | + | + | + | + | + | Открыть |
| 4.4 | синхронизация системного времени активов информационной системы, средств защиты информации от единого (общего) источника | + | + | + | + | + | + | + | + | Открыть |
| 5. Обеспечение криптографической защиты информации | ||||||||||
| 5.1 | обеспечение конфиденциальности и контроля целостности информации при ее передаче посредством сетей электросвязи общего пользования (открытых каналов передачи данных) (средства линейного шифрования и (или) предварительного шифрования) | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 5.2 | обеспечение конфиденциальности и контроля целостности информации при ее хранении в информационной системе (средства предварительного шифрования) | +/− | + | +/− | +/− | +/− | + | +/− | +/− | Открыть |
| 5.3 | обеспечение подлинности и контроля целостности электронных документов в информационной системе (средства электронной цифровой подписи) | + | + | + | + | + | + | + | + | Открыть |
| 5.4 | обеспечение контроля целостности информации в информационной системе (средства контроля целостности) | +/− | + | +/− | +/− | +/− | + | +/− | +/− | Открыть |
| 5.5 | обеспечение конфиденциальности и контроля целостности личных ключей, используемых при выработке электронной цифровой подписи (криптографический токен и (или) средства выработки электронной цифровой подписи) | + | + | + | + | + | + | + | + | Открыть |
| 5.6 | обеспечение многофакторной и (или) многоэтапной аутентификации пользователей в информационной системе (криптографический токен и (или) средства выработки электронной цифровой подписи) | +/− | +/− | +/− | +/− | +/− | +/− | +/− | +/− | Открыть |
| 5.7 | издание сертификатов открытых ключей проверки электронной цифровой подписи (удостоверяющий центр, регистрационный центр (при его наличии), средства электронной цифровой подписи) | + | + | + | + | + | + | + | + | Открыть |
| 6. Дополнительные требования по обеспечению защиты информации в виртуальной инфраструктуре | ||||||||||
| 6.1 | обеспечение защиты от агрессивного использования ресурсов виртуальной инфраструктуры потребителями услуг | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 6.2 | обеспечение защиты виртуальной инфраструктуры от несанкционированного доступа и сетевых атак из виртуальной и (или) физической сети, а также виртуальных машин | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 6.3 | обеспечение безопасного перемещения виртуальных машин и обрабатываемой на них информации | + | + | + | + | + | + | + | + | Открыть |
| 6.4 | обеспечение резервного копирования виртуальных машин | +/− | + | +/− | + | + | + | + | + | Открыть |
| 6.5 | обеспечение резервирования сетевого оборудования по схеме N+1 | +/− | +/− | +/− | +/− | +/− | +/− | + | + | Открыть |
| 6.6 | физическая изоляция сегмента виртуальной инфраструктуры (система хранения и обработки информации), предназначенного для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам | +/− | +/− | +/− | + | +/− | +/− | +/− | + | Открыть |
| 7. Иные требования | ||||||||||
| 7.1 | определение перечня разрешенного программного обеспечения и регламентация порядка его установки и использования | + | + | + | + | + | + | + | + | Открыть |
| 7.2 | обеспечение контроля за составом активов информационной системы, средств защиты информации | + | + | + | + | + | + | + | + | Открыть |
| 7.3 | автоматизированный контроль за составом активов информационной системы, средств защиты информации | +/− | +/− | +/− | +/− | +/− | + | + | + | Открыть |
| 7.4 | использование активов информационной системы под пользовательскими учетными записями (использование учетных записей, имеющих административные привилегии, только в случае управления активами информационной системы или наличия особенностей функционирования активов информационной системы) | + | + | + | + | + | + | + | + | Открыть |
| 7.5 | определение состава и содержания информации, подлежащей резервному копированию | + | + | + | + | + | + | + | + | Открыть |
| 7.6 | обеспечение резервного копирования информации | + | + | + | + | + | + | + | + | Открыть |
| 7.7 | обеспечение резервного копирования конфигурационных файлов телекоммуникационного оборудования | +/− | + | +/− | + | + | + | + | + | Открыть |
| 7.8 | обеспечение обновления программного обеспечения и контроля за своевременностью такого обновления, за исключением случаев, влекущих прекращение функционирования этих активов и средств | + | + | + | + | + | + | + | + | Открыть |
| 7.9 | обеспечение сегментирования (изоляции) сети управления активами информационной системы, средствами защиты информации от сети передачи данных | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 7.10 | обеспечение защиты от воздействия вредоносных программ | + | + | + | + | + | + | + | + | Открыть |
| 7.11 | обеспечение управления информационными потоками (внутренними и внешними) (маршрутизация), использование маршрутизатора (коммутатора маршрутизирующего) | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 7.12 | обеспечение межсетевого экранирования при информационном взаимодействии (внутреннем и внешнем) по протоколам сетевого и транспортного уровней | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 7.13 | обеспечение обнаружения и предотвращения вторжений при информационном взаимодействии (внутреннем и внешнем) | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 7.14 | обеспечение обнаружения и предотвращения вторжений в информационной системе при использовании в ней беспроводных каналов передачи данных (Wi-Fi и (или) др.) | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 7.15 | обеспечение обнаружения и предотвращения утечек информации из информационной системы, использование системы обнаружения утечек информации из информационной системы | +/− | +/− | +/− | +/− | +/− | +/− | +/− | + | Открыть |
| 7.16 | обеспечение контроля за внешними подключениями к информационной системе | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
| 7.17 | ежегодное проведение оценки эффективности защищенности информационной системы (тестирование на проникновение) | +/− | +/− | +/− | +/− | +/− | + | +/− | + | Открыть |
| 7.18 | обеспечение обнаружения и реагирования на угрозы безопасности конечных узлов (уровня узла) в информационной системе | +/− | +/− | +/− | +/− | +/− | + | +/− | + | Открыть |
| 7.19 | обеспечение централизованного сбора и хранения сведений о DNS-запросах активов информационной системы, средств защиты информации в течение установленного срока хранения, но не менее одного месяца | +/− | +/− | +/− | +/− | + | + | + | + | Открыть |
Как пользоваться таблицей
Сначала выберите столбец своего класса ИС. Знак «+» означает, что требование обязательно включается в ТЗ и должно быть реализовано. Знак «+/−» означает рекомендуемый характер: решение о применении следует принимать с учётом архитектуры, угроз и закреплённого подхода.
Таблица является навигационной и справочной страницей GuardCore. При подготовке официальных документов необходимо сверяться с актуальной редакцией нормативного акта и учитывать фактические границы конкретной информационной системы.