first commit

docs/security/checklist.md

@@ -0,0 +1,101 @@
+# Чек-лист соответствия ФСТЭК №21 — УЗ-1 (К1)
+
+Статусы: ✅ реализовано в коде · 🔧 требует настройки при развёртывании ·
+🏛 инфраструктурная/организационная мера · ☐ не реализовано
+
+## 1. Идентификация и аутентификация (ИАФ)
+
+- ✅ ИАФ.1 Идентификация и аутентификация пользователей
+- ✅ ИАФ.2 Управление идентификаторами (уникальность, soft delete, блокировка)
+- ✅ ИАФ.3 Пароль ≥ 12 символов, сложность
+- ✅ ИАФ.3 Запрет повтора последних 5 паролей
+- ✅ ИАФ.3 Смена пароля каждые 90 дней
+- ✅ ИАФ.4 Многофакторная аутентификация (TOTP)
+- ✅🔧 ИАФ.5 Защита аутентификации при передаче (HTTPS + HSTS)
+- ✅ ИАФ.6 Блокировка после 5 неудачных попыток
+
+## 2. Управление доступом (УПД)
+
+- ✅ УПД.1 Управление учётными записями
+- ✅ УПД.2 Управление доступом к объектам (Policies для ПДн)
+- ✅ УПД.4 Разделение ролей (admin / operator / auditor / user)
+- ✅ УПД.5 Принцип наименьших привилегий
+- ✅ УПД.6 Ограничение неудачных попыток
+- ✅🔧 УПД.13 Контроль доступа к функциям управления
+
+## 3. Ограничение программной среды (ОПС)
+
+- 🔧 ОПС.1 Управление установкой ПО (зафиксированный `composer.lock`)
+- 🔧 ОПС.2 Запрет неавторизованных изменений (CI/CD контроль целостности)
+- 🔧 ОДТ.3 Контроль средств отладки (`APP_DEBUG=false`)
+
+## 4. Защита машинных носителей (ЗНИ)
+
+- ✅ ЗНИ Шифрование полей ПДн на уровне приложения
+- 🏛 ЗНИ.1 Полнодисковое шифрование (LUKS/VeraCrypt)
+- 🏛 ЗНИ.3 Уничтожение данных при выводе из эксплуатации
+
+## 5. Регистрация событий безопасности (РСБ)
+
+- ✅ РСБ.1 Перечень регистрируемых событий определён
+- ✅ РСБ.2 Регистрация входа/выхода
+- ✅ РСБ.2 Регистрация действий с ПДн (CRUD)
+- ✅ РСБ.2 Журнал содержит: время, пользователя, IP, объект, результат
+- ✅🔧 РСБ.3 Журналы недоступны для изменения (отдельная БД, права INSERT)
+- ✅ РСБ.3 Целостность журналов (HMAC-подпись + хеш-цепочка)
+- ✅🔧 РСБ.4 Защита от переполнения (ротация `audit:purge` + мониторинг)
+- 🔧 РСБ.7 Мониторинг событий в реальном времени (SIEM)
+- 🔧 РСБ.8 Хранение журналов ≥ 3 лет
+
+## 6. Антивирусная защита (ЗАВ)
+
+- 🏛 ЗАВ.1 Антивирус на сервере (ClamAV/сертифицированное СЗИ)
+- 🏛 ЗАВ.2 Проверка загружаемых файлов
+
+## 7. Обнаружение вторжений (СОВ)
+
+- 🏛 СОВ.1 Система обнаружения вторжений (Suricata/Snort/NGFW)
+- 🏛 СОВ.2 Обновление баз СОВ
+
+## 8. Обеспечение целостности (ОЦЛ)
+
+- 🔧 ОЦЛ.1 Контроль целостности ПО (хеши/CI)
+- ✅ ОЦЛ.2 Контроль целостности данных (`checksum` в таблицах ПДн)
+- 🏛 ОЦЛ.6 Ограничение запуска программ (AppArmor/SELinux)
+
+## 9. Защита среды виртуализации (ЗСВ) — при наличии
+
+- 🏛 ЗСВ.1 Идентификация ВМ
+- 🔧 ЗСВ.3 Изоляция БД (отдельные БД приложения и журнала)
+
+## 10. Защита информационной системы (ЗИС)
+
+- 🔧🏛 ЗИС.1 Сегментация (DMZ для веб, внутренний сегмент для БД)
+- 🔧 ЗИС.2 Защита периметра (Nginx + firewall + fail2ban)
+- 🔧 ЗИС.3 Исключение несанкционированного подключения (SSH по ключам)
+- ✅🔧 ЗИС.9 Защита от НСД при передаче (TLS 1.2+)
+- 🔧 ЗИС.16 Сертифицированные СКЗИ (КриптоПро для ГИС)
+
+## 11. Реагирование на инциденты (ИНЦ)
+
+- 🔧 ИНЦ.1 Обнаружение и регистрация инцидентов (алерты/SIEM)
+- 🏛 ИНЦ.2 Регламент реагирования (документ)
+- 🏛 ИНЦ.3 Уведомление Роскомнадзора в течение 24 ч
+- 🏛 ИНЦ.5 Анализ инцидентов, устранение причин
+
+## 12. Управление конфигурацией (УКФ)
+
+- 🔧🏛 УКФ.1 Базовая конфигурация (hardening Linux/PHP, CIS)
+- 🔧 УКФ.2 Контроль изменений конфигурации (Git + CI)
+- ✅ УКФ.4 Анализ уязвимостей (`composer audit`, CI)
+
+## Приоритеты внедрения
+
+**Очередь 1 (критично):** `APP_DEBUG=false`, TLS+HSTS, MFA, шифрование ПДн,
+базовое журналирование — **реализовано в шаблоне**.
+
+**Очередь 2 (высокий):** RBAC, парольная политика, блокировка, HMAC-подпись
+журнала — **реализовано в шаблоне**.
+
+**Очередь 3 (инфраструктура):** антивирус, сегментация сети, SIEM, регламенты —
+настраивается при развёртывании (см. [compliance.md](compliance.md), [../org/](../org/)).