- •Часть 1 Общие положения защиты информации
- •1. Организационно-административное обеспечение информационной безопасности
- •1.1 Политика информационной безопасности
- •1.1.1 Документ с изложением политики информационной безопасности
- •1.2 Выработка официальной политики предприятия в области информационной безопасности
- •1.2.1 Краткий обзор
- •1.2.1.1 Организационные вопросы
- •1.2.1.4 Распределение ответственности
- •1.2.2 Оценка рисков
- •1.2.2.1 Общие положения
- •1.2.1.2 Кто делает политику?
- •1.2.1.3 Кого затрагивает политика?
- •1.2.2.2 Идентификация активов
- •1.2.2.3 Идентификация угроз
- •1.2.3 Распределение прав пользователей
- •1.2.3.1 Кто имеет право использовать ресурсы?
- •1.2.3.2 Как правильно использовать ресурсы?
- •1.2.3.3 Кто наделен правом давать привилегии и разрешать использование?
- •1.2.3.4 Кто может иметь административные привилегии?
- •1.2.3.5 Каковы права и обязанности пользователей?
- •1.2.3.6 Каковы права и обязанности администраторов безопасности по отношению к другимпользователям?
- •1.2.3.7 Как работать с конфиденциальной информацией?
- •1.2.4 Что делать, когда политику безопасности нарушают
- •1.2.4.1 Выработка ответа на нарушение политики
- •1.2.4.2 Что делать, когда местные пользователи нарушают политику безопасности стороннейорганизации
- •1.2.4.3 Спецификация контактов с внешними организациями и определение ответственных
- •1.2.4.4 Каковы обязанности по отношению к соседям и другим пользователям Интернет?
- •1.2.4.5 Процедурные вопросы реагирования на нарушения
- •1.2.5 Пресекать или следить?
- •1.2.6 Толкование политики безопасности
- •1.2.7 Гласность политики безопасности
- •1.3 Организация системы безопасности
- •1.3.1 Инфраструктура информационной безопасности
- •1.3.2 Совещание руководящих лиц по информационной безопасности
- •1.3.3 Координация информационной безопасности
- •1.3.4 Распределение ответственности за информационную безопасность
- •1.3.5 Процедура санкционирования в отношении средств информационной технологии
- •1.3.6 Консультация специалиста по информационной безопасности
- •1.3.7 Сотрудничество между организациями
- •1.3.8 Независимая ревизия состояния информационной безопасности
- •1.4 Ответственность субъектов информационной безопасности
- •1.5 Классификация ресурсов и контроль за ними
- •1.5.1 Отчетность по ресурсам
- •1.5.2 Инвентаризация ресурсов
- •1.5.3 Классификация информации
- •1.5.4 Принципы классификации
- •1.5.5 Маркирование информации
- •1.6 Обеспечение безопасности персоналом
- •1.6.1 Обеспечение безопасности при составлении должностных инструкций и проверка благонадежности
- •1.6.2 Отражение мер безопасности в должностных инструкциях
- •1.6.3 Проверка на благонадежность при приеме на работу
- •1.6.4 Договор о соблюдении конфиденциальности
- •1.7 Обучение пользователей
- •1.7.1 Теоретическое и практическое обучение информационной безопасности
- •1.8 Реагирование на инциденты
- •1.8.1 Доведение информации об инцидентах, касающихся проблем безопасности
- •1.8.2 Сообщение об уязвимости защиты
- •1.8.3 Сообщение о сбоях программного обеспечения
- •1.8.4 Процедуры дисциплинарного воздействия
- •2. Основные положения теории защиты информации
- •2.1 Введение
- •2.2 Возникновение и история развития проблемы защиты информации
- •2.3 Методы исследования проблем защиты информации
- •2.3.1 Основные положения теории нечетких множеств
- •2.3.2 Основные положения нестрогой математики
- •2.3.3 Неформальные методы оценивания
- •2.3.4 Неформальные методы поиска оптимальных решений
- •2.4 Угрозы безопасности автоматизированной системы обработки информации
- •2.5 Причины, виды и каналы утечки информации
- •2.6 Модели разграничения доступа к информации
- •2.6.1 Модели безопасности
- •2.6.2 Модель пятимерного пространства безопасности Хардстона
- •2.6.3 Модель Белла-Лападула
- •2.6.4 Средства разграничения доступа
- •3. Управление защитой информации
- •3.1 Введение
- •3.2 Аудит
- •3.2.1 Определение и задачи аудита
- •3.2.2 Isaca
- •3.2.3 CoBiT
- •3.2.4 Практика проведения аудита кис
- •3.2.5 Результаты проведения аудита кис
- •3.3 Управление паролями
- •3.3.2 Пути снижения рисков
- •3.3.3 Обязательные правила
- •3.4 Управление идентификаторами привилегированных пользователей
- •3.4.1 Потенциальные угрозы
- •3.4.2 Пути снижения рисков
- •3.4.3 Обязательные правила
- •3.5 Планирование мероприятий по обеспечению логической безопасности
- •3.5.1 Потенциальные угрозы
- •3.5.2 Пути снижения рисков
- •3.5.3 Обязательные правила
- •3.6 Планирование мероприятий по обеспечению физической безопасности
- •3.6.1 Потенциальные угрозы
- •3.6.2. Пути снижения рисков
- •3.7 Слежение за состоянием безопасности
- •3.7.1 Потенциальные угрозы
- •3.8 Планирование мероприятий на случай выхода системы из строя
- •3.7.2 Пути снижения рисков
- •3.8.1 Потенциальные угрозы
- •3.8.2 Пути снижения рисков
- •3.9 Использование средств удаленной диагностики
- •3.9.1 Потенциальные угрозы
- •3.9.2 Пути снижения рисков
- •3.9.3 Обязательные правила
- •4. Перечень стандартов Республики Беларусь, касающихся информационной безопасности
- •5. Перечень правовых актов Республики Беларусь, касающихся информационной безопасности
3.5.2 Пути снижения рисков
Планировать логическую безопасность системы в целом, принимая во внимание степень уязвимости подлежащей защите системы и данных и объем защиты, которая может быть обеспечена физическими средствами.
Разделить обязанности для минимизации риска злоупотреблений в системе, будь то по небрежности или преднамеренно. В частности, рассмотреть возможность разделения следующих функций:
ввод данных;
управление сетью;
администрирование системы;
развитие и сопровождение системы;
управление изменениями;
администрирование безопасности.
Предоставить каждому уполномоченному пользователю системы уникальный идентификатор пользователя и пароль, с тем чтобы они могли быть идентифицированы, и им могли быть даны соответствующие права доступа.
Защитить систему от доступа паролями или аналогичными средствами.
Предпринять меры (т.е. использовать формальные процедуры, автоматический выход из системы) для обеспечения отключения пользователей от системы по окончании работы или при оставлении своего терминала или ПК без присмотра (за консультацией обращаться к специалистам соответствующих служб).
Обеспечить защиту всех системных и прикладных программ с тем, чтобы они могли обновляться только теми, кто имеет на это право.
Внедрить процедуры проверки для обнаружения изменений в программных файлах (контрольное суммирование).
Обеспечить защиту всех уязвимых данных с тем, чтобы они могли быть доступны только тем, кто имеет на это разрешение.
Держать очень уязвимую информацию (особенно это касается информации, которую не должны видеть лица, имеющие доступ к привилегированным идентификаторам пользователя) на съемных носителях, таких как дискеты. Такие данные должны быть обеспечены защитой и храниться отдельно от системы (см. параграф «Планирование мероприятий по обеспечению физической безопасности»). Шифровать уязвимые данные во время хранения и/или передаче по линиям связи.
3.5.3 Обязательные правила
Все системы (включая переносные и «домашние» компьютеры), в которых используются уязвимые данные, должны настраиваться и эксплуатироваться таким образом, чтобы доступ к таким данным могли иметь только имеющие соответствующие полномочия сотрудники (за консультацией обращайтесь к администратору безопасности).
3.6 Планирование мероприятий по обеспечению физической безопасности
Физическая безопасность - это физические (не программные - охрана, замки, двери, решетки и. т.п.) средства контроля доступа к ресурсам системы.
Любое физическое имущество должно предохраняться от потери, повреждения или кражи, компьютерное оборудование не составляет исключения. Однако физическая защита компьютерного оборудования представляет собой первую оборонительную линию для любой компьютерной системы, которую оно поддерживает. В некоторых системах, например, операционных системах UNIX, физический доступ к серверу позволяет обойти все меры защиты системы. Физическая безопасность обеспечивает защиту компьютерной системы в целом, т.е. программное обеспечение и данные, а также аппаратные средства.
Следовательно, меры, принимаемые для сохранения физической безопасности компьютерного оборудования, должны отражать не только стоимость замены оборудования, но и возможный ущерб от потери системы, программного обеспечения и данных. В некоторых случаях организация могла бы оказаться в затруднительном положении, если бы содержащее уязвимые данные и/или системы оборудование было вынесено из организации.
В общем, риск случайного повреждения может быть снижен, если руководствоваться общим здравым смыслом (и соблюдать инструкции по технике безопасности). Однако, для защиты систем от воздействия окружающей среды, неосторожности, намеренного вмешательства и кражи необходимы другие меры. С уменьшением размеров аппаратных средств увеличивается возможность их кражи, особенно это касается таких компонентов как диски и ПК. Существует риск кражи и таких компонентов, как платы памяти и процессорные чипы, которые малы, легко снимаются и довольно дорого стоят.