Чіткі часові стандарти для адміністрування доступу, аудиту системних подій та усунення вразливостей, що вимагає від фінансових, юридичних і комплаєнс-служб операторів лотерей посилення операційного й технічного контролю, містить відповідний Галузевий профіль - див. матеріал “Стандарти кіберзахисту лотерейників”.
Якщо Ви не наш клієнт - почніть свою роботу з LIGA360 вже сьогодні - Ligazakon.net
Серед іншого, документ регламентує жорсткі часові рамки для кадрового адміністрування та управління акаунтами персоналу. Зокрема, у разі звільнення працівника, його переведення чи коли обліковий запис більше не потрібен, деактивація або видалення акаунту в системі має відбуватися у строк, що не перевищує 24 години. Для випадків примусового звільнення скасування доступу вимагається в той самий день, а при добровільному звільненні - у термін не більше ніж 5 робочих днів. Ревізія авторизованих користувачів, їхніх ролей і наданих привілейованих прав має проводитися щонайменше щоквартально. Для доступу до привілейованих облікових записів обов'язковим є впровадження багатофакторної автентифікації (MFA).
У межах захисту від несанкціонованого доступу профіль встановлює вимогу до використання складних паролів завдовжки щонайменше 12 символів, які містять великі й малі літери, цифри та спеціальні знаки. Максимальний строк дії паролів становить не більше 180 днів, а при їх створенні чи оновленні необхідно змінювати принаймні 50% символів. База даних скомпрометованих та загальновживаних паролів має переглядатися не рідше одного разу на квартал. Додатково встановлено технічне обмеження на бездіяльність: пристрій автоматично блокується через період не більше 30 хвилин пасивності, а мережеве з'єднання примусово завершується після 15 хвилин бездіяльності.
З метою забезпечення повної підзвітності оператори лотерей зобов'язані вести систематичне журналювання подій для всіх інформаційних систем та мережевих компонентів із обов'язковою фіксацією точного часу в UTC або з фіксованим зміщенням. Аналіз записів аудиту системи для виявлення підозрілої діяльності має здійснюватися щонайменше щотижня, а сповіщення про збої в обробці даних аудиту повинні надходити відповідальним особам практично в реальному часі. Сканування систем на наявність вразливостей підлягає виконанню кожні 30 днів, після чого виявлені дефекти та безпекові оновлення програмного забезпечення мають усуватися й встановлюватися протягом 30 діб. Антивірусне перевіряння та резервне копіювання даних проводяться щонайменше щотижня.
Окремий блок вимог присвячено оперативності реагування на безпекові загрози та плановому комплаєнсу. Повідомлення про виявлені підозрілі інциденти передається до внутрішньої служби реагування протягом 2 годин з моменту виявлення. Навчання персоналу з реагування на інциденти проводиться за заздалегідь визначеними ролями, а повторні тренінги та оцінка спроможностей системи здійснюються щонайменше щороку. Насамкінець, усі ключові регламентні документи - включно з базовою конфігурацією системи, планом захисту інформації, оцінкою ризиків та внутрішніми политиками безпеки - підлягають обов'язковому перегляду та оновленню щонайменше один раз на рік.
