- •Часть 1 Общие положения защиты информации
- •1. Организационно-административное обеспечение информационной безопасности
- •1.1 Политика информационной безопасности
- •1.1.1 Документ с изложением политики информационной безопасности
- •1.2 Выработка официальной политики предприятия в области информационной безопасности
- •1.2.1 Краткий обзор
- •1.2.1.1 Организационные вопросы
- •1.2.1.4 Распределение ответственности
- •1.2.2 Оценка рисков
- •1.2.2.1 Общие положения
- •1.2.1.2 Кто делает политику?
- •1.2.1.3 Кого затрагивает политика?
- •1.2.2.2 Идентификация активов
- •1.2.2.3 Идентификация угроз
- •1.2.3 Распределение прав пользователей
- •1.2.3.1 Кто имеет право использовать ресурсы?
- •1.2.3.2 Как правильно использовать ресурсы?
- •1.2.3.3 Кто наделен правом давать привилегии и разрешать использование?
- •1.2.3.4 Кто может иметь административные привилегии?
- •1.2.3.5 Каковы права и обязанности пользователей?
- •1.2.3.6 Каковы права и обязанности администраторов безопасности по отношению к другимпользователям?
- •1.2.3.7 Как работать с конфиденциальной информацией?
- •1.2.4 Что делать, когда политику безопасности нарушают
- •1.2.4.1 Выработка ответа на нарушение политики
- •1.2.4.2 Что делать, когда местные пользователи нарушают политику безопасности стороннейорганизации
- •1.2.4.3 Спецификация контактов с внешними организациями и определение ответственных
- •1.2.4.4 Каковы обязанности по отношению к соседям и другим пользователям Интернет?
- •1.2.4.5 Процедурные вопросы реагирования на нарушения
- •1.2.5 Пресекать или следить?
- •1.2.6 Толкование политики безопасности
- •1.2.7 Гласность политики безопасности
- •1.3 Организация системы безопасности
- •1.3.1 Инфраструктура информационной безопасности
- •1.3.2 Совещание руководящих лиц по информационной безопасности
- •1.3.3 Координация информационной безопасности
- •1.3.4 Распределение ответственности за информационную безопасность
- •1.3.5 Процедура санкционирования в отношении средств информационной технологии
- •1.3.6 Консультация специалиста по информационной безопасности
- •1.3.7 Сотрудничество между организациями
- •1.3.8 Независимая ревизия состояния информационной безопасности
- •1.4 Ответственность субъектов информационной безопасности
- •1.5 Классификация ресурсов и контроль за ними
- •1.5.1 Отчетность по ресурсам
- •1.5.2 Инвентаризация ресурсов
- •1.5.3 Классификация информации
- •1.5.4 Принципы классификации
- •1.5.5 Маркирование информации
- •1.6 Обеспечение безопасности персоналом
- •1.6.1 Обеспечение безопасности при составлении должностных инструкций и проверка благонадежности
- •1.6.2 Отражение мер безопасности в должностных инструкциях
- •1.6.3 Проверка на благонадежность при приеме на работу
- •1.6.4 Договор о соблюдении конфиденциальности
- •1.7 Обучение пользователей
- •1.7.1 Теоретическое и практическое обучение информационной безопасности
- •1.8 Реагирование на инциденты
- •1.8.1 Доведение информации об инцидентах, касающихся проблем безопасности
- •1.8.2 Сообщение об уязвимости защиты
- •1.8.3 Сообщение о сбоях программного обеспечения
- •1.8.4 Процедуры дисциплинарного воздействия
- •2. Основные положения теории защиты информации
- •2.1 Введение
- •2.2 Возникновение и история развития проблемы защиты информации
- •2.3 Методы исследования проблем защиты информации
- •2.3.1 Основные положения теории нечетких множеств
- •2.3.2 Основные положения нестрогой математики
- •2.3.3 Неформальные методы оценивания
- •2.3.4 Неформальные методы поиска оптимальных решений
- •2.4 Угрозы безопасности автоматизированной системы обработки информации
- •2.5 Причины, виды и каналы утечки информации
- •2.6 Модели разграничения доступа к информации
- •2.6.1 Модели безопасности
- •2.6.2 Модель пятимерного пространства безопасности Хардстона
- •2.6.3 Модель Белла-Лападула
- •2.6.4 Средства разграничения доступа
- •3. Управление защитой информации
- •3.1 Введение
- •3.2 Аудит
- •3.2.1 Определение и задачи аудита
- •3.2.2 Isaca
- •3.2.3 CoBiT
- •3.2.4 Практика проведения аудита кис
- •3.2.5 Результаты проведения аудита кис
- •3.3 Управление паролями
- •3.3.2 Пути снижения рисков
- •3.3.3 Обязательные правила
- •3.4 Управление идентификаторами привилегированных пользователей
- •3.4.1 Потенциальные угрозы
- •3.4.2 Пути снижения рисков
- •3.4.3 Обязательные правила
- •3.5 Планирование мероприятий по обеспечению логической безопасности
- •3.5.1 Потенциальные угрозы
- •3.5.2 Пути снижения рисков
- •3.5.3 Обязательные правила
- •3.6 Планирование мероприятий по обеспечению физической безопасности
- •3.6.1 Потенциальные угрозы
- •3.6.2. Пути снижения рисков
- •3.7 Слежение за состоянием безопасности
- •3.7.1 Потенциальные угрозы
- •3.8 Планирование мероприятий на случай выхода системы из строя
- •3.7.2 Пути снижения рисков
- •3.8.1 Потенциальные угрозы
- •3.8.2 Пути снижения рисков
- •3.9 Использование средств удаленной диагностики
- •3.9.1 Потенциальные угрозы
- •3.9.2 Пути снижения рисков
- •3.9.3 Обязательные правила
- •4. Перечень стандартов Республики Беларусь, касающихся информационной безопасности
- •5. Перечень правовых актов Республики Беларусь, касающихся информационной безопасности
1.6.4 Договор о соблюдении конфиденциальности
Пользователи информационными средствами организации должны подписать соответствующее обязательство в отношении конфиденциальности (о неразглашении). Служащие обычно подписывают такое обязательство как часть основных условий приема на работу.
Персонал отделений и сторонние пользователи, не связанные существующим контрактом, содержащим обязательства по соблюдению конфиденциальности, должны обязательно подписать такой договор, прежде чем получить доступ к информационным средствам организации.
Договора о соблюдении конфиденциальности должны пересматриваться в случае изменений условий приема на работу или контрактных условий, особенно когда служащие собираются увольняться или по окончании срока действия контракта.
1.7 Обучение пользователей
Чтобы обеспечить информированность пользователей о существующих угрозах для информационной безопасности и связанных с ними проблемах, а также предоставить им все необходимое для реализации выработанной организацией политики обеспечения безопасности в процессе работы, необходимо планировать и регулярно осуществлять мероприятия по обучению.
Пользователи должны быть обучены процедурам безопасности и правильному использованию информационных средств.
Пользователи должны получить официальное письменное разрешение на доступ с указанием прав и ограничений.
1.7.1 Теоретическое и практическое обучение информационной безопасности
До получения разрешения на доступ к информационным услугам пользователи должны пройти соответствующее обучение в отношении политики и процедур обеспечения безопасности, включая требования безопасности и контроля, а также обучение по правильному использованию информационных средств, например, по процедурам подключения к системе, использованию пакетов прикладных программ.
Примечание. Данные меры необходимы для обеспечения правильного выполнения процедур безопасности и минимизации возможных рисков для конфиденциальности, целостности и доступности данных или услуг, которые могут возникнуть из-за ошибки пользователя.
Такая политика должна применяться в отношении служащих организации и сторонних пользователей.
1.8 Реагирование на инциденты
Информация об инциденте должны быть доведена до руководства как можно быстрее. Это необходимо для того, чтобы сократить ущерб от инцидентов, касающихся проблем безопасности, и сбоев в работе, а также отслеживать такие инциденты и делать соответствующие выводы на будущее.
1.8.1 Доведение информации об инцидентах, касающихся проблем безопасности
Должна быть разработана официальная процедура доведения такой информации совместно с процедурой реагирования на инциденты с указанием действий, которые следует предпринять при получении сообщения об инциденте. Все служащие организации и подрядчики должны владеть процедурой сообщения об инцидентах и обязаны докладывать о таких инцидентах как можно быстрее в соответствующую службу.
Все служащие организации и подрядчики должны быть ознакомлены с процедурами доклада о различного вида инцидентах (нарушение защиты, угроза, уязвимые места защиты или сбои), которые могут повлиять на безопасность ресурсов организации. Они обязаны сообщать о любых обнаруженных или вызывающих подозрение инцидентах как можно быстрее в соответствующую службу. Организация должна создать формальную дисциплинарную процедуру в отношении служащих, чьи действия привели к нарушению безопасности.