laravel-gost-template/docs/security/checklist.md

Чек-лист соответствия ФСТЭК №21 — УЗ-1 (К1)

Статусы: ✅ реализовано в коде · 🔧 требует настройки при развёртывании · 🏛 инфраструктурная/организационная мера · ☐ не реализовано

1. Идентификация и аутентификация (ИАФ)

• ✅ ИАФ.1 Идентификация и аутентификация пользователей
• ✅ ИАФ.2 Управление идентификаторами (уникальность, soft delete, блокировка)
• ✅ ИАФ.3 Пароль ≥ 12 символов, сложность
• ✅ ИАФ.3 Запрет повтора последних 5 паролей
• ✅ ИАФ.3 Смена пароля каждые 90 дней
• ✅ ИАФ.4 Многофакторная аутентификация (TOTP)
• ✅🔧 ИАФ.5 Защита аутентификации при передаче (HTTPS + HSTS)
• ✅ ИАФ.6 Блокировка после 5 неудачных попыток

2. Управление доступом (УПД)

• ✅ УПД.1 Управление учётными записями
• ✅ УПД.2 Управление доступом к объектам (Policies для ПДн)
• ✅ УПД.4 Разделение ролей (admin / operator / auditor / user)
• ✅ УПД.5 Принцип наименьших привилегий
• ✅ УПД.6 Ограничение неудачных попыток
• ✅🔧 УПД.13 Контроль доступа к функциям управления

3. Ограничение программной среды (ОПС)

• 🔧 ОПС.1 Управление установкой ПО (зафиксированный composer.lock)
• 🔧 ОПС.2 Запрет неавторизованных изменений (CI/CD контроль целостности)
• 🔧 ОДТ.3 Контроль средств отладки (APP_DEBUG=false)

4. Защита машинных носителей (ЗНИ)

• ✅ ЗНИ Шифрование полей ПДн на уровне приложения
• 🏛 ЗНИ.1 Полнодисковое шифрование (LUKS/VeraCrypt)
• 🏛 ЗНИ.3 Уничтожение данных при выводе из эксплуатации

5. Регистрация событий безопасности (РСБ)

• ✅ РСБ.1 Перечень регистрируемых событий определён
• ✅ РСБ.2 Регистрация входа/выхода
• ✅ РСБ.2 Регистрация действий с ПДн (CRUD)
• ✅ РСБ.2 Журнал содержит: время, пользователя, IP, объект, результат
• ✅🔧 РСБ.3 Журналы недоступны для изменения (отдельная БД, права INSERT)
• ✅ РСБ.3 Целостность журналов (HMAC-подпись + хеш-цепочка)
• ✅🔧 РСБ.4 Защита от переполнения (ротация audit:purge + мониторинг)
• 🔧 РСБ.7 Мониторинг событий в реальном времени (SIEM)
• 🔧 РСБ.8 Хранение журналов ≥ 3 лет

6. Антивирусная защита (ЗАВ)

• 🏛 ЗАВ.1 Антивирус на сервере (ClamAV/сертифицированное СЗИ)
• 🏛 ЗАВ.2 Проверка загружаемых файлов

7. Обнаружение вторжений (СОВ)

• 🏛 СОВ.1 Система обнаружения вторжений (Suricata/Snort/NGFW)
• 🏛 СОВ.2 Обновление баз СОВ

8. Обеспечение целостности (ОЦЛ)

• 🔧 ОЦЛ.1 Контроль целостности ПО (хеши/CI)
• ✅ ОЦЛ.2 Контроль целостности данных (checksum в таблицах ПДн)
• 🏛 ОЦЛ.6 Ограничение запуска программ (AppArmor/SELinux)

9. Защита среды виртуализации (ЗСВ) — при наличии

• 🏛 ЗСВ.1 Идентификация ВМ
• 🔧 ЗСВ.3 Изоляция БД (отдельные БД приложения и журнала)

10. Защита информационной системы (ЗИС)

• 🔧🏛 ЗИС.1 Сегментация (DMZ для веб, внутренний сегмент для БД)
• 🔧 ЗИС.2 Защита периметра (Nginx + firewall + fail2ban)
• 🔧 ЗИС.3 Исключение несанкционированного подключения (SSH по ключам)
• ✅🔧 ЗИС.9 Защита от НСД при передаче (TLS 1.2+)
• 🔧 ЗИС.16 Сертифицированные СКЗИ (КриптоПро для ГИС)

11. Реагирование на инциденты (ИНЦ)

• 🔧 ИНЦ.1 Обнаружение и регистрация инцидентов (алерты/SIEM)
• 🏛 ИНЦ.2 Регламент реагирования (документ)
• 🏛 ИНЦ.3 Уведомление Роскомнадзора в течение 24 ч
• 🏛 ИНЦ.5 Анализ инцидентов, устранение причин

12. Управление конфигурацией (УКФ)

• 🔧🏛 УКФ.1 Базовая конфигурация (hardening Linux/PHP, CIS)
• 🔧 УКФ.2 Контроль изменений конфигурации (Git + CI)
• ✅ УКФ.4 Анализ уязвимостей (composer audit, CI)

Приоритеты внедрения

Очередь 1 (критично): APP_DEBUG=false, TLS+HSTS, MFA, шифрование ПДн, базовое журналирование — реализовано в шаблоне.

Очередь 2 (высокий): RBAC, парольная политика, блокировка, HMAC-подпись журнала — реализовано в шаблоне.

Очередь 3 (инфраструктура): антивирус, сегментация сети, SIEM, регламенты — настраивается при развёртывании (см. compliance.md, ../org/).