Минимальные обязательные параметры настройки мер защиты информации определены в отраслевом профиле, что требует от субъектов азартного рынка усиления операционного и технологического комплаенса.
Более подробно об этом говорится в материале "Азартные игры и кибербезопасность".
Если Вы не наш клиент - начните свою работу с LIGA360 уже сегодня - Ligazakon.net
Профиль устанавливает строгие временные рамки для администрирования аккаунтов и управления доступом персонала. В частности, организаторы азартных игр обязаны деактивировать или удалять учетные записи работников в случае их увольнения или перевода в течение не более 24 часов. Для всех привилегированных аккаунтов вводится обязательная многофакторная аутентификация (MFA), а просмотр предоставленных полномочий доступа должен осуществляться по меньшей мере ежеквартально. Кроме того, парольная политика требует использования по меньшей мере 12-символьных сложных паролей с комбинацией прописных и строчных букв, цифр и специальных символов с максимальным сроком действия до 180 дней и ежеквартальным обновлением списка скомпрометированных паролей.
Для финансово-экономических и юридических служб компаний важно соблюдение требований по географическому размещению вычислительных мощностей. Документ прямо ограничивает географическое размещение обработки и хранения данных объектами, расположенными исключительно в пределах юридической юрисдикции Украины. Отдельное внимание уделено защите персональных данных из Реестра лиц, которым ограничен доступ к игорным заведениям: результаты поисков в Реестре подлежат обязательной защите от утечки или копирования и должны быть удалены не позднее конца суток, в котором был сделан соответствующий запрос.
Регулятор обязывает вести серьезный непрерывный аудит всех системных событий. Обзор и анализ записей аудита системы должны проводиться по меньшей мере еженедельно с обязательным применением отметок времени в формате UTC или с фиксированным смещением по отношению к нему. Сканирование систем на наличие уязвимостей должно выполняться по меньшей мере каждые 30 дней, а обнаруженные дефекты безопасности и обновление программного обеспечения подлежат обязательному устранению и установке в течение 30 суток.
Для обеспечения устойчивости информационных систем предприятий внедряются жесткие регламенты реагирования на киберинциденты. Сообщения о подозрительных событиях безопасности должны передаваться во внутреннюю службу реагирования в течение 2 часов с момента их обнаружения. Автоматическая блокировка устройств через бездействие пользователя должна происходить в период, не превышающий 30 минут, а сетевое соединение сеанса принудительно прекращается после не более 15 минут бездействия. Все внутренние политики, процедуры и планы защиты информации подлежат обязательному пересмотру и обновлению не менее одного раза в год.
