ГОСТ Р 59547-2021: статус и мониторинг информационной безопасности

Да, действует. По данным реестра национальных стандартов, статус ГОСТ Р 59547-2021 — «действует», поле «дата отмены» пустое, поле «заменён на» тоже пустое. Стандарт утверждён и введён в действие приказом Федерального агентства по техническому регулированию и метрологии (Росстандарта) от 27 июля 2021 г. № 656-ст. В разделе «Предисловие» самого документа дата введения указана в формате ISO — 2022-04-01, то есть 1 апреля 2022 года.

Полное название — «Защита информации. Мониторинг информационной безопасности. Общие положения» (англ. Information protection. Information security monitoring. General provisions). Это национальный стандарт Российской Федерации, код ОКС 35.020 («Информационные технологии (ИТ) в целом»). Разработан ФСТЭК России совместно с ООО «Центр безопасности информации» (ООО «ЦБИ»), внесён Техническим комитетом по стандартизации ТК 362 «Защита информации».

В отличие от терминологических ГОСТов серии, этот документ введён впервые — у него нет более ранней редакции, которую он бы заменял.

Стандарт устанавливает уровни мониторинга ИБ, требования к каждому уровню, порядок осуществления мониторинга ИБ при реализации мер защиты информации и требования к защите данных мониторинга. Он применим к мероприятиям по мониторингу, которые операторы проводят в отношении собственных информационных (автоматизированных) систем, а также к деятельности по оказанию услуг мониторинга ИБ сторонними организациями.

Что стандарт прямо не регулирует. В разделе 1 «Область применения» отдельно оговорено: «Настоящий стандарт не устанавливает требования к средствам мониторинга ИБ и к мероприятиям, связанным с выявлением компьютерных инцидентов и реагированием на них». То есть ГОСТ описывает наблюдение и анализ — поставку данных, а не конкретные технические средства и не сам процесс реагирования на выявленные инциденты.

Пункт 4.4 стандарта выделяет четыре уровня мониторинга ИБ, для каждого из которых раздел 5 формулирует отдельные требования.

Объектами мониторинга (п. 4.3) стандарт называет автоматизированные рабочие места, серверное оборудование, телекоммуникационное оборудование, технологическое и (или) производственное оборудование (исполнительные устройства), средства защиты информации, а также иные объекты, которые определит сам оператор. При реализации мониторинга ИБ стандарт требует обеспечить шесть свойств процесса: многопараметричность, масштабируемость, адаптивность, полноту, доступность и достоверность данных (п. 4.5).

Раздел 3 стандарта определяет 17 терминов. Ниже — понятия, которые чаще всего нужны на практике при построении процесса мониторинга, с номером пункта и определением по тексту ГОСТ.

↔ таблицу можно прокрутить вбок

Про термин «угроза». Определение угрозы безопасности информации (п. 3.14) стандарт не формулирует заново, а прямо заимствует из другого национального стандарта — со ссылкой «[ГОСТ Р 50922-2006, статья 2.6.1]». Это редкий для нормативки случай прямой перекрёстной ссылки между двумя ГОСТами серии защиты информации, подробнее о самом терминологическом стандарте — на странице ГОСТ Р 50922-2006.

ГОСТ Р 59547-2021 технологически нейтрален: в тексте нет ни аббревиатуры SIEM, ни термина SOC. Вместо названий продуктов и организационных форм стандарт описывает функции — сбор, нормализацию, агрегирование данных о событиях безопасности, сопоставление с потоками индикаторов компрометации, формирование отчётов и оповещений. На практике эти функции в подавляющем большинстве случаев реализуют именно классы решений, которые рынок называет SIEM — платформы для сбора и анализа событий безопасности.

Ближе всего к понятию SOC (Security Operations Center) стандарт подходит в пункте 5.5.6: он допускает создание «единого координирующего центра мониторинга (ситуационного центра мониторинга ИБ)» для контроля полноты охвата, состава правил анализа и работоспособности всех компонентов мониторинга. По сути это описание того же объекта, что в индустрии называют SOC, хотя сам ГОСТ такой аббревиатурой не пользуется.

Пункт 5.5.4 также описывает роли персонала, занятого мониторингом, — руководитель, системный администратор, администратор безопасности, специалист по взаимодействию с персоналом, оператор мониторинга, специалист по оценке защищённости и аналитик, — что близко к типовой ролевой модели SOC-команды.

Отдельно стандарт вводит термин «индикатор компрометации» (п. 3.3) и требует сопоставлять события безопасности с потоками таких индикаторов (п. 5.3.3) — эта задача на практике решается интеграцией SIEM или SOC с внешними Threat Intelligence-источниками.

ГОСТ Р 59547-2021 — часть более широкой нормативной картины по защите информации, и в первую очередь связан со следующими документами.

• ГОСТ Р 59548-2022. Раздел 2 «Нормативные ссылки» прямо указывает на ГОСТ Р 59548 «Защита информации. Регистрация событий безопасности. Требования к регистрируемой информации» — стандарт-компаньон, который детализирует, какие именно данные о конкретных типах событий должны регистрироваться. Если ГОСТ Р 59547-2021 отвечает на вопрос «как организовать процесс мониторинга», то ГОСТ Р 59548-2022 — на вопрос «что именно регистрировать».
• ГОСТ Р 50922-2006. Определение термина «угроза» (п. 3.14) стандарт не вводит заново, а прямо заимствует из ГОСТ Р 50922-2006 — терминологической основы для всей серии национальных стандартов по защите информации.
• Приказы ФСТЭК № 17, 21 и 239. Эти приказы устанавливают обязательные меры защиты информации для государственных информационных систем, информационных систем персональных данных и значимых объектов КИИ соответственно, включая меры группы «регистрация событий безопасности» (РСБ) и анализ угроз. Ни один из приказов не ссылается на ГОСТ Р 59547-2021 по номеру, но методически стандарт описывает именно то, как организационно реализовать процесс мониторинга и регистрации событий, который эти приказы требуют как меру защиты — подробнее на страницах приказа ФСТЭК № 17 / № 117, приказа ФСТЭК № 21 и приказа ФСТЭК № 239.