| № | Показатель | Вес | Значение |
|---|---|---|---|
| 1.1 | На заместителя руководителя возложены полномочия ответственного лица за обеспечение ИБ и определены его обязанности | 0.30 | |
| 1.2 | Определены функции структурного подразделения (или отдельных работников), ответственного за обеспечение ИБ | 0.40 | |
| 1.3 | К подрядным организациям с привилегированным доступом установлены требования по защите от угроз через инфраструктуру подрядчика | 0.30 |
| № | Показатель | Вес | Значение |
|---|---|---|---|
| 2.1 | Отсутствуют учётные записи с паролем, не соответствующим парольной политике (или реализованы компенсирующие меры) | 0.30 | |
| 2.2 | Реализована многофакторная аутентификация привилегированных пользователей (≥50% администраторов используют второй фактор) | 0.30 | |
| 2.3 | Отсутствуют учётные записи разработчиков и сервисные УЗ с паролями по умолчанию | 0.20 | |
| 2.4 | Отсутствуют активные учётные записи работников, с которыми прекращены трудовые или иные отношения | 0.20 |
| № | Показатель | Вес | Значение |
|---|---|---|---|
| 3.1 | На сетевом периметре установлены МЭ L3/L4 (100% интерфейсов из Интернет контролируется) | 0.20 | |
| 3.2 | На устройствах из Интернет отсутствуют критические уязвимости старше 30 дней (или реализованы компенсирующие меры) | 0.20 | |
| 3.3 | На пользовательских устройствах и серверах (≥90%) отсутствуют критические уязвимости старше 90 дней | 0.10 | |
| 3.4 | Обеспечена проверка вложений e-mail на вредоносное ПО (≥80% пользовательских устройств) | 0.10 | |
| 3.5 | Централизованное управление антивирусной защитой (≥80% устройств), обновления баз не реже 1 раза в месяц | 0.15 | |
| 3.6 | Реализована очистка входящего Интернет-трафика от DDoS-атак (L3/L4) — договор с провайдером | 0.15 |
| № | Показатель | Вес | Значение |
|---|---|---|---|
| 4.1 | Реализован централизованный сбор событий ИБ и оповещение о неудачных попытках входа для привилегированных УЗ | 0.40 | |
| 4.2 | Реализован централизованный сбор и анализ событий ИБ на всех устройствах, взаимодействующих с Интернет | 0.35 | |
| 4.3 | Утверждён документ, определяющий порядок реагирования на компьютерные инциденты | 0.25 |