- •Часть 1 Общие положения защиты информации
- •1. Организационно-административное обеспечение информационной безопасности
- •1.1 Политика информационной безопасности
- •1.1.1 Документ с изложением политики информационной безопасности
- •1.2 Выработка официальной политики предприятия в области информационной безопасности
- •1.2.1 Краткий обзор
- •1.2.1.1 Организационные вопросы
- •1.2.1.4 Распределение ответственности
- •1.2.2 Оценка рисков
- •1.2.2.1 Общие положения
- •1.2.1.2 Кто делает политику?
- •1.2.1.3 Кого затрагивает политика?
- •1.2.2.2 Идентификация активов
- •1.2.2.3 Идентификация угроз
- •1.2.3 Распределение прав пользователей
- •1.2.3.1 Кто имеет право использовать ресурсы?
- •1.2.3.2 Как правильно использовать ресурсы?
- •1.2.3.3 Кто наделен правом давать привилегии и разрешать использование?
- •1.2.3.4 Кто может иметь административные привилегии?
- •1.2.3.5 Каковы права и обязанности пользователей?
- •1.2.3.6 Каковы права и обязанности администраторов безопасности по отношению к другимпользователям?
- •1.2.3.7 Как работать с конфиденциальной информацией?
- •1.2.4 Что делать, когда политику безопасности нарушают
- •1.2.4.1 Выработка ответа на нарушение политики
- •1.2.4.2 Что делать, когда местные пользователи нарушают политику безопасности стороннейорганизации
- •1.2.4.3 Спецификация контактов с внешними организациями и определение ответственных
- •1.2.4.4 Каковы обязанности по отношению к соседям и другим пользователям Интернет?
- •1.2.4.5 Процедурные вопросы реагирования на нарушения
- •1.2.5 Пресекать или следить?
- •1.2.6 Толкование политики безопасности
- •1.2.7 Гласность политики безопасности
- •1.3 Организация системы безопасности
- •1.3.1 Инфраструктура информационной безопасности
- •1.3.2 Совещание руководящих лиц по информационной безопасности
- •1.3.3 Координация информационной безопасности
- •1.3.4 Распределение ответственности за информационную безопасность
- •1.3.5 Процедура санкционирования в отношении средств информационной технологии
- •1.3.6 Консультация специалиста по информационной безопасности
- •1.3.7 Сотрудничество между организациями
- •1.3.8 Независимая ревизия состояния информационной безопасности
- •1.4 Ответственность субъектов информационной безопасности
- •1.5 Классификация ресурсов и контроль за ними
- •1.5.1 Отчетность по ресурсам
- •1.5.2 Инвентаризация ресурсов
- •1.5.3 Классификация информации
- •1.5.4 Принципы классификации
- •1.5.5 Маркирование информации
- •1.6 Обеспечение безопасности персоналом
- •1.6.1 Обеспечение безопасности при составлении должностных инструкций и проверка благонадежности
- •1.6.2 Отражение мер безопасности в должностных инструкциях
- •1.6.3 Проверка на благонадежность при приеме на работу
- •1.6.4 Договор о соблюдении конфиденциальности
- •1.7 Обучение пользователей
- •1.7.1 Теоретическое и практическое обучение информационной безопасности
- •1.8 Реагирование на инциденты
- •1.8.1 Доведение информации об инцидентах, касающихся проблем безопасности
- •1.8.2 Сообщение об уязвимости защиты
- •1.8.3 Сообщение о сбоях программного обеспечения
- •1.8.4 Процедуры дисциплинарного воздействия
- •2. Основные положения теории защиты информации
- •2.1 Введение
- •2.2 Возникновение и история развития проблемы защиты информации
- •2.3 Методы исследования проблем защиты информации
- •2.3.1 Основные положения теории нечетких множеств
- •2.3.2 Основные положения нестрогой математики
- •2.3.3 Неформальные методы оценивания
- •2.3.4 Неформальные методы поиска оптимальных решений
- •2.4 Угрозы безопасности автоматизированной системы обработки информации
- •2.5 Причины, виды и каналы утечки информации
- •2.6 Модели разграничения доступа к информации
- •2.6.1 Модели безопасности
- •2.6.2 Модель пятимерного пространства безопасности Хардстона
- •2.6.3 Модель Белла-Лападула
- •2.6.4 Средства разграничения доступа
- •3. Управление защитой информации
- •3.1 Введение
- •3.2 Аудит
- •3.2.1 Определение и задачи аудита
- •3.2.2 Isaca
- •3.2.3 CoBiT
- •3.2.4 Практика проведения аудита кис
- •3.2.5 Результаты проведения аудита кис
- •3.3 Управление паролями
- •3.3.2 Пути снижения рисков
- •3.3.3 Обязательные правила
- •3.4 Управление идентификаторами привилегированных пользователей
- •3.4.1 Потенциальные угрозы
- •3.4.2 Пути снижения рисков
- •3.4.3 Обязательные правила
- •3.5 Планирование мероприятий по обеспечению логической безопасности
- •3.5.1 Потенциальные угрозы
- •3.5.2 Пути снижения рисков
- •3.5.3 Обязательные правила
- •3.6 Планирование мероприятий по обеспечению физической безопасности
- •3.6.1 Потенциальные угрозы
- •3.6.2. Пути снижения рисков
- •3.7 Слежение за состоянием безопасности
- •3.7.1 Потенциальные угрозы
- •3.8 Планирование мероприятий на случай выхода системы из строя
- •3.7.2 Пути снижения рисков
- •3.8.1 Потенциальные угрозы
- •3.8.2 Пути снижения рисков
- •3.9 Использование средств удаленной диагностики
- •3.9.1 Потенциальные угрозы
- •3.9.2 Пути снижения рисков
- •3.9.3 Обязательные правила
- •4. Перечень стандартов Республики Беларусь, касающихся информационной безопасности
- •5. Перечень правовых актов Республики Беларусь, касающихся информационной безопасности
3.3.3 Обязательные правила
Пароли должны включать в себя не менее шести знаков; их необходимо держать в секрете (посредством таких мер, как регулярная замена, исключение общих слов и т.п.). Никому не сообщайте свой пароль без явного разрешения руководителя подразделения.
По окончании времени использования информационной системы или при оставлении своего терминала или ПК без присмотра соблюдайте формальные процедуры выхода из работы.
3.4 Управление идентификаторами привилегированных пользователей
Компьютерные системы, от PC LAN до мейнфреймов, обычно различают пользователей посредством User-ID (идентификаторов пользователей). Данный раздел посвящен особым «идентификаторам привилегированных пользователей», дающих привилегированным пользователям право как устанавливать систему, так и впоследствии сопровождать ее. Например, такой ID используется для предоставления или аннулирования доступа в систему или к ее данным, прогонять резервные копии и осуществлять восстановление. Идентификатор привилегированного пользователя по своей природе должен предоставлять возможность доступа последнего ко всем программам и данным в системе, несмотря на их принадлежность и обычные ограничения в области безопасности.
Как следствие, этот очень нужный ID несет риск безопасности в своем праве, если его использование тщательно не контролируется и не отслеживается. Компьютер не может сказать, кто в самом деле пользуется в настоящий момент идентификатором - любой, кто говорит, что он привилегированный пользователь, и знает нужный пароль, и есть привилегированный пользователь. Несанкционированный доступ под идентификатором привилегированного пользователя может быть использован для модификации любых журналов мониторинга, таким образом уничтожая любые улики.
Дополнительная угроза заключается в том, что в аварийной ситуации может понадобиться использование идентификатора привилегированного пользователя для корректировки некоторых ошибок глубоко в системе. Такое использование может осуществить кто-либо другой, а не сам системный администратор, тем самым расширяются возможности несанкционированного использования прав привилегированного пользователя.
3.4.1 Потенциальные угрозы
Потеря конфиденциальности вследствие:
несанкционированного использования идентификатора привилегированного пользователя для получения доступа к уязвимым данным;
несанкционированного использования идентификатора привилегированного пользователя для изменения или снятия ограничений в отношении защиты и безопасности.
Потеря целостности вследствие:
санкционированного, но некомпетентного использования идентификатора привилегированного пользователя для внесения изменений в программное обеспечение и/или данные;
несанкционированного использования идентификатора привилегированного пользователя для внесения изменений в программное обеспечение и/или данные.
Потеря доступности вследствие:
•несанкционированного или некомпетентного использования идентификатора привилегированного пользователя, что привело к порче или удалению ключевого программного обеспечения и данных.