# Общие положения

## Назначение документа

Документ описывает реализованные в Global System меры обеспечения информационной безопасности, включая как встроенные в архитектуру и функциональность системы механизмы (security by design), так и возможности интеграции со сторонними средствами и сервисами безопасности для усиления защиты в процессе эксплуатации.

## Область применения

Распространяется на все компоненты Global System, включая платформу, серверные и клиентские модули, прикладные решения и интерфейсы интеграции.

## Подходы к обеспечению безопасности

В Global System используются два взаимодополняющих подхода:

-   **Security by design** — базовые меры информационной безопасности встроены в архитектуру и функциональность системы и обеспечиваются на уровне платформы.
    
-   **Расширяемая модель безопасности** — система предусматривает интеграцию со сторонними средствами и сервисами безопасности (например, внешние системы аутентификации, мониторинга, контроля доступа), позволяя усиливать защиту в зависимости от требований эксплуатации.

## Термины и сокращения

- ALDPro — служба каталогов, используемая в инфраструктуре заказчика в качестве источника учетных данных.
- CEF (Common Event Format) — стандартный формат представления событий безопасности.
- DRP (Disaster Recovery Plan) — план восстановления после сбоев и аварий.
- IDM (Identity Management) — системы управления учетными записями, ролями и жизненным циклом идентичностей.
- MDM (Mobile Device Management) — класс систем для управления и контроля мобильных устройств.
- MFA (Multi-Factor Authentication) — многофакторная аутентификация, использующая два и более независимых факторов подтверждения личности.
- NTP (Network Time Protocol) — протокол синхронизации времени в сетях.
- ORM (Object-Relational Mapping) — технологии сопоставления объектов приложения с записями в базе данных.
- Security by design — подход к разработке, при котором меры информационной безопасности изначально закладываются в архитектуру и функциональность системы.
- SIEM (Security Information and Event Management) — системы сбора, корреляции и анализа событий информационной безопасности.
- SOAP (Simple Object Access Protocol) — протокол обмена структурированными сообщениями между приложениями.
- SQL Injection — уязвимость, связанная с внедрением SQL-кода через пользовательский ввод.
- SSO (Single Sign-On) — единая аутентификация пользователя для доступа к нескольким системам без повторного ввода учетных данных.
- SSRF (Server-Side Request Forgery) — уязвимость, позволяющая инициировать запросы от имени сервера к внутренним или внешним ресурсам.
- SYSLOG — протокол передачи сообщений журналирования.
- XSS (Cross-Site Scripting) — уязвимость, связанная с выполнением внедренного сценарного кода в интерфейсе пользователя.
- XXE (XML External Entity) — уязвимость, связанная с обработкой внешних XML-сущностей.
- Информационная безопасность (ИБ) — состояние защищенности информации и информационных систем от несанкционированного доступа, искажения, утраты и иных угроз.
- Контроль целостности — проверка неизменности компонентов системы и данных.
- Расширяемая модель безопасности — модель, предусматривающая интеграцию системы со сторонними средствами и сервисами безопасности.
- Ролевая модель доступа — модель разграничения доступа на основе ролей, назначаемых пользователям.
- Сетевая безопасность — совокупность мер по защите сетевых взаимодействий и ограничению сетевого доступа.