10.5 Защитные меры для подотчетности, аутентичности и достоверности

Область применения подотчетности, аутентичности и достоверности широко различается в разных доменах. Эти различия подразумевают возможное применение множества разных защитных мер. Поэтому для них могут быть приведены только общие рекомендации.

Защитные меры, перечисленные в 8.1, предоставляют общую защиту, т.е. они направлены на ряд угроз и обеспечивают защиту путем поддержки общего эффективного управления безопасностью ИТ. Настоящий подраздел их не содержит, но влияние этих мер не следует приуменьшать и они также подлежат реализации для обеспечения общей эффективной безопасности.

10.5.1 Подотчетность

При защите подотчетности должна учитываться любая угроза, которая может привести к выполнению действий, не свойственных рассматриваемому объекту или субъекту. Ниже приведены примеры некоторых подобных угроз:

- коллективное пользование учетными записями;

- отсутствие возможности оперативного контроля действий;

- имитация законного пользователя;

- сбой программного обеспечения;

- несанкционированный доступ к компьютеру, данным, услугам и приложениям;

- неудовлетворительная аутентификация.

Существуют два типа подотчетности, которые должны быть приняты во внимание. Первый тип связан с идентификацией пользователя, подотчетного за определенные действия с информацией и системами ИТ. Контрольные журналы регистрации предоставляют такую подотчетность. Второй - касается подотчетности между пользователями в системе. Это может быть достигнуто путем применения услуг по обнаружению неотказуемости, дробления знаний или двойного контроля.

Многие защитные меры могут внести вклад в улучшение подотчетности, начиная от политики обеспечения безопасности, логического управления и аудита доступа и до внедрения одноразовых паролей и средств управления носителями информации. Реализация политики в области владения информацией является предпосылкой для обеспечения подотчетности. Выбор специальных защитных мер будет зависеть от специфики использования подотчетности в пределах домена.

10.5.2 Аутентичность

Доверие к аутентичности может быть снижено любой угрозой, которая заставляет человека, систему или процесс усомниться в том, что объект является тем, что он представляет из себя. Примерами возникновения такой ситуации является изменение данных без надлежащего контроля, происхождение непроверенных или неподдерживаемых данных.

Многие защитные меры могут внести свой вклад в улучшение аутентичности, начиная от использования утвержденных справочных данных, логического управления и аудита доступа и до цифровых подписей. Выбор специальных защитных мер зависит от специфики использования аутентичности в пределах данной области.

10.5.3 Достоверность

Любая угроза, которая может привести к непоследовательному поведению систем или процессов, приводит к снижению достоверности. Примерами таких угроз являются нелогичное функционирование системы и ненадежные поставщики. Снижение достоверности приводит к плохому обслуживанию потребителей и потере их доверия.

Многие защитные меры могут внести свой вклад в усиление достоверности, начиная от планов непрерывности бизнеса, внедрения резервирования в физическую структуру и техническое обслуживание системы и до идентификации, аутентификации, логического управления и аудита доступа. Выбор специальных защитных мер будет зависеть от специфики выбора показателей достоверности в пределах данной области.