10.3.12 Использование несанкционированных программ и данных

Использование несанкционированных программ и данных создает угрозу целостности информации в запоминающем устройстве и при обработке ее в системе, если эти программы и данные используются для незаконного изменения информации или содержат злонамеренный код (например игры). Защитные меры в этой области включают а себя:

- осведомленность и обучение по вопросам безопасности.

До сведения всего персонала должна быть доведена информация о запрете установления и использования любого программного обеспечения без разрешения администратора системы ИТ или ответственного за безопасность этой системы (см. 8.1.4);

- резервные копии.

Резервные копии следует использовать для восстановления поврежденной информации (8.1.6);

- идентификацию и аутентификацию.

Соответствующие защитные меры с помощью идентификации и аутентификации должны использоваться совместно с логическим управлением доступом для предупреждения несанкционированного проникновения;

- логическое управление и аудит доступа.

Логическое управление доступом, описанное в 8.2.2, должно обеспечивать применение программного обеспечения для обработки и изменения информации только уполномоченными пользователями. Просмотр и анализ журналов регистрации позволяет обнаруживать несанкционированные виды деятельности;

- защиту от злонамеренного кода.

Все программы и данные должны проверяться перед использованием на наличие злонамеренного кода (см. 8.2.3).

10.3.13 Несанкционированный доступ к месту хранения носителей информации

Несанкционированный доступ к месту хранения носителей информации может подвергать опасности целостность этой информации, так как в этом случае возможно несанкционированное изменение информации, записанной на этом носителе информации. Защитные меры по сохранению целостности включают в себя:

- эксплуатационные вопросы.

Организация может применять средства управления носителями информации, например для физической защиты и подотчетности для того, чтобы не допустить проникновения в место хранения, а также верификацию целостности для обнаружения любой компрометации целостности информации, записанной на этом носителе информации (см. 8.1.5). Особое внимание должна уделять защите легко снимаемых носителей, например дискеты, магнитные ленты с записями резервных копий и бумажные носители;

- физическую безопасность.

Соответствующая защита помещений (прочные стены и окна, а также физическое управление доступом) и офисное оборудование могут предохранить от несанкционированного доступа (см. 8.1.7);

- целостность данных.

Организация может использовать средства криптографии для защиты целостности информации в запоминающем устройстве. Дополнительную информацию см. в 8.2.5.

10.3.14 Ошибка пользователя

Ошибка пользователя может нарушить целостность информации. Защитные меры для целостности информации включают в себя:

- осведомленность в вопросах безопасности и соответствующее обучение.

Организация должна провести обучение всех пользователей для того, чтобы они не допускали ошибок при обработке информации (см. 8.1.4). В программу обучения должно быть включено изучение определенных методик для специальных действий, например процедуры по эксплуатации и обеспечению безопасности;

- резервные копии.

Резервные копии, например предыдущее поколение программного обеспечения, могут быть использованы для восстановления целостности информации, поврежденной в результате ошибок пользователя (см. 8.1.6).