kiev-security.org.ua-Безопасность компьютерных систем.Руководство по проектированию и эксплуатация автоматизированных систем, отвечающих требованиям информационной безопасности

1.Общие положения и определения
2.Учет требований ИБ на предпроектных стадиях работ по созданию АС
3.Разработка политики ИБ
4.Обеспечение режима ИБ на стадиях проектирования АС
5.Рабочая документация, относящаяся к обеспечению режима ИБ
6.Обеспечение ИБ в процессе подготовки к эксплуатации АС
7.Обеспечение режима ИБ при эксплуатации АС
8. Внесение изменений в работающие АС
9.Содержание работ предпроектных стадий разработки АС в части, касающейся обеспечения ИБ
10.Разработка политики ИБ
11.Документация, относящаяся к обеспечению режима ИБ
12.Обеспечение ИБ в процессе подготовки к эксплуатации АС
13.Обеспечение режима ИБ при эксплуатации АС

1. Общие положения и определения

Настоящий руководящий документ устанавливает порядок разработки, внедрения и эксплуатации автоматизированных систем (АС), отвечающих требованиям информационной безопасности (ИБ).

В приложении приводятся методические рекомендации, касающиеся реализации изложенных положений.

В документе рассматриваются следующие основные вопросы:

предпроектная стадия работ по созданию АС (выработка политики ИБ, анализ рисков, выбор основных решений по обеспечению режима ИБ);
стадия разработки проекта АС, на которой производится планирование обеспечения ИБ;
обеспечение ИБ в процессе внедрения и эксплуатации АС.

Используются следующие определения:

Информационная безопасность АС - защищенность информации и оборудования АС от факторов, представляющих угрозу для:

конфиденциальности (обеспечение санкционированного доступа);
целостности;
доступности.

Управление информационной безопасностью - способ обеспечения информационной безопасности путем использования механизмов обеспечения ИБ.

Анализ рисков - процесс определения угроз безопасности системы и отдельным ее компонентам, определения их характеристик и потенциального ущерба, а так же контрмер.

Политика информационной безопасности - совокупность документов, определяющих управленческие и проектные решения в области ИБ.

Функциональные требования (спецификации функций безопасности) - подмножество функций АС, относящихся к обеспечению ИБ.

Гарантированность механизмов обеспечения ИБ - оценка адекватности используемых механизмов обеспечения ИБ выбранным функциональным требованиям. Гарантированность определяется эффективностью и корректностью механизмов обеспечения ИБ.

Профиль защиты - документ, описывающий задачи обеспечения ИБ в терминах функциональных требований и требований гарантированности.

2. Учет требований ИБ на предпроектных стадиях работ по созданию АС

На предпроектных стадиях работ по созданию АС должны быть:

сформулированы требования к обеспечению режима ИБ при реализации функций и задач проектируемой АС;
разработана концепция политики ИБ.

На стадии "Формирование требований к АС", после составления списка функций и задач АС, должны быть сформулированы требования к обеспечению режима ИБ при их реализации. Требования формулируются в терминах:

доступности,
целостности,
конфиденциальности.

В отчете, разрабатываемом на этой стадии, в разделе, "Функции и задачи создаваемой АС" должен присутствовать подраздел "Требования к обеспечению режима ИБ". В нем должны быть описаны требования к обеспечению режима ИБ по каждой функции и задаче АС.

Разработка концепции ИБ производится на стадии "Разработка концепции АС". Разработка концепции политики ИБ начинается после выбора варианта концепции создаваемой АС и производится на основе анализа следующих групп факторов:

правовые и договорные требования;
требования к обеспечению режима ИБ по функциям и задачам АС;
угрозы (классы рисков), которым подвергаются информационные ресурсы.

В результате анализа формулируются общие положения ИБ, затрагивающие организацию в целом:

цели и приоритеты, которые преследует организация в области ИБ;
общие направления в достижении этих целей;
аспекты программы ИБ, которые должны решаться на уровне организации в целом;
должностные лица, и их обязанности по реализации программы ИБ.

Концепция политики ИБ должна быть оформлена в виде отчета.

3. Разработка политики ИБ

Разработка политики ИБ производится на стадии "Техническое задание" и предполагает следующие этапы:

анализ рисков;
определение требований к средствам защиты;
выбор основных решений по обеспечению режима ИБ;
разработку планов обеспечения бесперебойной работы организации;
документальное оформление политики ИБ.

Анализ рисков

Анализ рисков предполагает изучение и систематизацию угроз ИБ, определение требований к средствам обеспечения ИБ.

Изучение и систематизация угроз ИБ предполагает следующие этапы:

выбор элементов АС, для которых будет производится анализ;
разработка методологии оценки риска;
анализ угроз, определение слабых мест в защите;
оценка рисков.

По результатам проведенной работы составляется документ, содержащий:

перечни угроз ИБ, оценки рисков и рекомендации по снижению вероятности их возникновения;
защитные меры, необходимые для нейтрализации угроз;
анализ стоимость/эффективность, на основании которого делаются выводы о допустимых уровнях остаточного риска и целесообразности применения конкретных вариантов защиты.

Определение требований к средствам защиты и выбор основных решений по обеспечению режима ИБ

Определение требований к средствам защиты предполагает следующие этапы:

формулировка требований к ИБ, вытекающих из анализа функций и задач АС с учетом проведенного анализа рисков. Требования к ИБ формулируются в терминах функций и механизмов безопасности;
выбор профиля защиты (класса защищенности АС от НСД).

Выбор основных решений по обеспечению режима ИБ. Производится структуризация комплекса мер по уровням:

административному (обеспечение разработки и выполнения программы ИБ);
организационному (организация работы персонала и регламентация его действий);
программно-техническому (программно-техническая реализация механизмов безопасности).

Обеспечения бесперебойной работы организации

В плане обеспечения бесперебойной работы должны быть описаны процедуры реагирования на чрезвычайные ситуации, перехода на аварийный режим работы и заданы условия вступления плана в действие. Должны быть указаны должности сотрудников, отвечающих за реализацию каждого пункта плана.

Документирование политики ИБ

Политика ИБ содержится в следующих документах:

концепция политики ИБ;
анализ рисков;
требования к средствам защиты и выбор основных решений по обеспечению режима ИБ;
должностные инструкции персонала и пользователей АС (разрабатывается на этапе "Рабочая документация, относящаяся к обеспечению режима ИБ");
план обеспечения бесперебойной работы организации.

4. Обеспечение режима ИБ на стадиях проектирования АС

На стадиях "Эскизный проект" и "Технический проект" должны быть разработаны проектные решения, реализующие механизмы ИБ. Проектные решения описываются в пояснительной записке к техническому проекту.

В разделе "Основные технические решения по системе в целом" должны быть рассмотрены решения по структуре и функционированию комплексной системы, обеспечивающей режим ИБ:

технические решения по структуре системы и подсистем, обеспечивающих режим ИБ, уровни иерархии и система управления ИБ;
технические решения по режимам функционирования и диагностике состояний системы, обеспечивающей режим ИБ;
описание показателей, характеризующих качество системы, обеспечивающей режим ИБ и методы их измерения
перечень угроз ИБ, для которых обеспечивается защита в рамках предлагаемого проектного решения.

В разделе "Описание автоматизируемых функций и задач" описываются проектные решения, реализующие механизмы ИБ. По каждому механизму приводятся характеристики качества реализации и методы их измерения. Приводятся перечни и критерии отказов для каждого механизма безопасности и меры, принимаемые для удовлетворения требований надежности.

В разделе "Основные технические решения по видам обеспечения" рассматриваются:

обоснование выбора технических средств, обеспечивающих режим ИБ, функционирование в составе комплекса технических средств автоматизированной системы, в том числе в пусковом, нормальном и аварийном режимах;
технические решения по программному обеспечению, относящиеся к обеспечению режима ИБ
технические решения по информационному обеспечению, относящиеся к обеспечению режима ИБ (организация сбора и передачи данных).

В разделе "Мероприятия по подготовке объекта автоматизации к вводу системы в действие" описываются:

мероприятия по обучению персонала правилам поддержания режима ИБ;
мероприятия по изменению объекта автоматизации, связанные с обеспечением ИБ;
планирование восстановительных работ.

Должны быть предусмотрены меры ИБ, направленные на ликвидацию последствий нарушений в работе, вызванных стихийными бедствиями, авариями, атаками нарушителей. В процессе планирования должны быть рассмотрены вопросы:

выявления критически важных функций и систем;
определения перечня возможных аварий;
разработка защитных мероприятий;
подготовка планов действий персонала на случай аварий.

5. Рабочая документация, относящаяся к обеспечению режима ИБ

На стадии разработки рабочей документации должны быть разработаны:

должностные инструкции персонала, регламентирующие вопросы доступа в помещения и к оборудованию, работу с носителями информации, доступ к информации;
правила администрирования в АС;
правила работы пользователей в АС;
правила работы со сторонними организациями.

Должен быть разработан план мероприятий по обеспечению режима ИБ. В этом плане должны быть рассмотрены основные составляющие части комплексной системы защиты:

организация работы персонала;
физическая защита и контроль за соблюдением режима ИБ;
организация доступа в многопользовательской системе;
поддержание работоспособности и обеспечение ИБ в сетях;
планирование восстановительных работ.

6. Обеспечение ИБ в процессе подготовки к эксплуатации АС

В процессе подготовки к эксплуатации АС должны быть решены вопросы обучения пользователей и персонала, организации физической защиты и контроля за соблюдением режима ИБ, организации доступа пользователей к работе в АС.

Организация обучения пользователей по вопросам обеспечения ИБ. В соответствии с утвержденными планами по обеспечению режима ИБ, пользователи и обслуживающий персонал должны пройти обучение.

Организация физической защиты и контроль за соблюдением режима ИБ

В процессе эксплуатации АС должен быть организован контроль за:

доступом в помещения;
сохранением конфиденциальности;
ведением журналов регистрации событий;
организация доступа к носителями информации;
доступом к документации по АС.

Организация доступа в многопользовательской системе

При подготовке к эксплуатации должны быть рассмотрены вопросы доступа в АС. Сюда относится следующая группа вопросов:

регистрация пользователей;
управление паролями пользователей;
управление привилегиями;
пересмотр прав доступа пользователей.
управление привилегированным доступом для администрирования системы, в том числе системы ИБ.

7. Обеспечение режима ИБ при эксплуатации АС

Поддержание режима ИБ требует постоянного контроля за реализацией политики ИБ. Основными направлениями являются контроль за работой пользователей, защита целостности данных и программ, управление доступом к приложениям.

Контроль за работой пользователей включает следующие аспекты:

управление доступом к рабочим местам в АС;
контроль за использованием паролей;
контроль за оборудованием, оставленным без присмотра;
отслеживание времени простоя терминалов;
ограничение доступа к сервисам.

В плане защиты целостности данных и програм от вредоносного программного обеспечения администраторы АС и пользователи должны быть всегда готовы к возможности проникновения вредоносного программного обеспечения в АС и принимать меры по обнаружению его внедрения и ликвидации последствий его атак.

Управление доступом к сервисам включает следующие аспекты:

контроль за соблюдением правил использования электронной почты и электронного документооборота;
управление доступом к приложениям и сервисам;
контроль за использованием системных программ;
изоляция уязвимых мест в защите АС;
отслеживание событий, представляющих угрозу ИБ.

8. Внесение изменений в работающие АС

Внесение изменений в АС необходимо контролировать на предмет соответствия требованиям ИБ. Должны существовать утвержденные процедуры внесения изменений, оценки последствий внесенных изменений для соблюдения режима ИБ, разработаны правила доведения внесенных изменений до сведения лиц, которых они затрагивают.

9. Содержание работ предпроектных стадий разработки АС в части, касающейся обеспечения ИБ

На стадии "Формирование требований к АС" в части, касающейся обеспечения ИБ, должны быть сформулированы требования к обеспечению режима ИБ при реализации функций и задач проектируемой АС.

На этапе "Обследование объекта и обоснование необходимости создания АС" оценивается состояние режима ИБ на объекте, выявляются существующие проблемы в этой области.

На этапе "Формирование требований пользователя к АС" проводят подготовку исходных данных для формирования требований в области ИБ: условия создания и функционирования системы, описание требований в области ИБ, ограничения допустимых затрат на поддержание ИБ. Должны быть сформулированы требования заказчика в области ИБ. Требования формулируются по задачам и функциям в терминах:

доступности (период недоступности, время доступа, другие показатели, определяемые предметной областью);
целостности (показатели надежности хранения, доставки);
конфиденциальности (градации конфиденциальности или гриф секретности).

На этапе "Оформление отчета о выполненной работе и заявке на разработку АС" должен быть написан отчет. В разделе, "Функции и задачи создаваемой АС" должен присутствовать подраздел "Требования к обеспечению режима ИБ". В нем должны быть описаны требования к обеспечению режима ИБ по каждой функции и задаче АС в терминах: доступность, целостность, конфиденциальность.

Разработка концепции ИБ производится на стадии "Разработка концепции АС".

На этапах "Изучение объекта" и "Проведение необходимых научно-исследовательских работ" выявляются основные угрозы (классы рисков), которым подвергаются информационные ресурсы, фиксируются правовые и договорные требования, которым должен удовлетворять режим ИБ.

Разработка концепции политики ИБ производится на этапе "Разработка вариантов концепции АС и выбор варианта концепции АС" после выбора варианта концепции создаваемой АС и производится на основе анализа следующих групп факторов:

правовые и договорные требования;
требования к обеспечению режима ИБ по функциям и задачам АС;
угрозы (классы рисков), которым подвергаются информационные ресурсы.

В результате анализа формулируются общие положения ИБ, затрагивающие организацию вцелом:

цели и приоритеты, которые преследует организация в области ИБ;
общие направления в достижении этих целей;
аспекты программы ИБ, которые должны решаться на уровне организации вцелом;
должностные лица, ответственные за реализацию программы ИБ.

Концепция политики ИБ должна быть оформлена в виде отчета.

10. Разработка политики ИБ

Разработка политики ИБ производится на стадии "Техническое задание" и предполагает следующие этапы:

анализ рисков;
определение требований к средствам защиты;
выбор основных решений по обеспечению режима ИБ;
разработку планов беспечения бесперебойной работы организации;
документальное оформление политики ИБ.

Анализ рисков

Изучение и систематизация угроз ИБ предполагает следующие этапы:

Выбор элементов АС и информационных ресурсов, для которых будет производится анализ.

Должны быть выбраны критичные элементы АС и критичные информационные ресурсы, которые могут быть объектами атаки или сами являются потенциальным источником нарушения режима ИБ.

Идентификация угроз и формирование списка угроз.

Формируется детальный список угроз, составляется матрица угрозы/элементы АС или информационные ресурсы. Каждому элементу матрицы должно быть сопоставлено описание возможного воздействия угрозы на соответствующий элемент АС или информационный ресурс. В процессе составления матрицы уточняется список угроз угроз и выделенных элементов.

Разработка методологии оценки риска.

Должны быть получены оценки предельно допустимого и существующего риска осуществления угрозы в течение некоторого времени. В идеале для каждой из угроз должно быть получено значение вероятности ее осуществления в течении некоторого времени. Это поможет соотнести оценку возможного ущерба с затратами на защиту. На практике для большинства угроз невозможно получить достоверные данные о вероятности реализации угрозы и приходится ограничиваться качественными оценками. При разработке методологии оценки риска могут быть использованы методы системного анализа.

Оценка ущерба, связанная с реализацией угроз.

Производится оценка ущерба, который может нанести деятельности организации реализация угроз безопасности, с учетом возможных последствий нарушения конфиденциальности, целостности и доступности информации.

Оценка затрат на мероприятия, связанные с защитой и остаточного риска.

Производится предварительная оценка прямых затрат по каждому мероприятию без учета затрат на мероприятия, носящие комплексный характер.

Анализ стоимость/эффективность.

Расходы на систему защиты информации необходимо соотнести с ценностью защищаемой информации и других информационных ресурсов, подвергающихся риску, а также с ущербом, который может быть нанесен организации из-за реализации угроз. В результате анализа уточняются допустимые остаточные риски и расходы по мероприятиям, связанным с защитой информации.

Итоговый документ.

По результатам проведенной работы составляется документ, содержащий:

перечни угроз ИБ, оценки рисков и рекомендации по снижению вероятности их возникновения;
защитные меры, необходимые для нейтрализации угроз;
анализ стоимость/эффективность, на основании которого делаются выводы о допустимых уровнях остаточного риска и целесообразности применения конкретных вариантов защиты.

Определение требований к средствам защиты

Исходными данными являются:

анализ функций и задач АС;
анализ рисков.

На основе этих данных выбирается профиль защиты (класс защищенности АС от НСД) и при необходимости в техническом задании формулируются дополнительные требования, специфичные (связанные, например, со спецификой ИБ в современных распределенных АС) для данной АС.

Общие требования к средствам защиты, вытекающие из выбранного класса защищенности АС и дополнительных требований, могут быть описаны на основе функционального подхода (по функциям и задачам АС), либо по подсистемам АС.

Если используется функциональный подход, должны быть определены функции безопасности (сервисы безопасности), такие как:

аутентификация;
управление доступом;
конфиденциальность;
целостность и др.

Для всех функций и задач АС должны быть даны определения соответствующих функций безопасности. Функции безопасности с одинаковыми названиями могут иметь различные определения для разных функций и задач АС.

Затем определяются механизмы безопасности, реализующие эти функции. Основные механизмы ИБ:

управление доступом к информации;
идентификация и аутентификация;
криптографии;
экранирования;
обеспечение целостности и доступности данных;
поддержание работоспособности АС при сбоях, авариях, ЧП;
отслеживание событий, представляющих угрозу ИБ;
управление доступом в АС;
протоколирование действий и событий.

Если используется описание требований по подсистемам, должны быть сформулированы дополнительные требования, не регламентированные в требованиях выбранного профиля защиты (класса защищенности АС от НСД).

Возможно использование смешанного подхода, при котором дополнительные требования описываются в терминах функций (сервисов) безопасности.

Выбор основных решений по обеспечению ИБ

Комплекс мер по обеспечению режима ИБ должен быть рассмотрен на трех уровнях:

административном (система поддержки руководством организации работ по обеспечению ИБ);
организационном (конкретные организационные мероприятия по обеспечению режима ИБ);
техническом (реализация механизмов защиты программно-техническими средствами).

Административный уровень обеспечения ИБ

Должны быть выработаны:

система поддержки руководством организации мероприятий по обеспечению ИБ, выполнению правовых и договорных требований в области ИБ;
процедура доведения до сведения сотрудников основных положений концепции ИБ, требования по обучению персонала правилам ИБ;
система контроля за реализацией принятых решений и ответственные должностные лица.

Организационный уровень обеспечения ИБ

На организационном уровне должны быть рассмотрены:

организационная структура службы, отвечающей за обеспечение режима ИБ, распределение обязанностей;
комплекс профилактических мер (предупреждение появления вирусов, предупреждение неумышленных действий, ведущих к нарушению ИБ);
организация доступа сотрудников сторонних организаций к ресурсам АС;
организация доступа пользователей и персонала к конкретным ресурсам АС;
политика по отношению к отдельным аспектам: удаленный доступ в АС, использование открытых ресурсов (например интернета), использование несертифицированного ПО и т.д.).

Технический уровень обеспечения ИБ

Рассматриваются программно-технические средства, реализующие заданные требования.

Если требования формулировались в терминах функций (сервисов) безопасности, рассматриваются механизмы безопасности и соответствующие им варианты программных и аппаратных реализаций.

Если требования формулировались по подсистемам АС, рассматривается варианты программно-аппаратной реализации этих подсистем.

При рассмотрении различных вариантов рекомендуется учитывать следующие аспекты:

управление доступом к информации и сервисам, включая требования к разделению обязанностей и ресурсов;
регистрация значительных событий в журнале для целей повседневного контроля или специальных расследований;
проверка и обеспечение целостности критически важных данных на всех стадиях их обработки;
защита конфиденциальных данных от НСД, в том числе использование средств шифрования;
резервное копирование критически важных данных;
восстановление работы АС после отказов, особенно для систем с повышенными требованиями к доступности;
защита от внесения несанкционированных дополнений и изменений;
обеспечение средств контроля, например, посредством использования программы для выборочного контроля и альтернативные варианты программного обеспечения для повторения критически важных вычислений.

Обеспечения бесперебойной работы организации

В процессе планирования бесперебойной работы организации рассматриваются следующие вопросы:

выявление критически важных процессов в работе АС;
определение возможного воздействия аварий различных типов на работу АС;
определение и согласование всех обязанностей и планов действий в чрезвычайных ситуациях;
планирование подготовки персонала к работе в чрезвычайных ситуациях.

План обеспечения бесперебойной работы организации должен включать:

процедуры реагирования на чрезвычайные ситуации, описывающие меры, которые надлежит принять сразу после крупного инцидента, подвергающего опасности работу организации и/или нарушения ИБ;
процедуры перехода на аварийный режим, описывающие меры, которые надлежит принять для временного перевода основных работ и сервисов в другие места;
процедуры возобновления работы организации, описывающие меры, которые надлежит принять для возобновления нормальной производственной деятельности организации;
график испытаний, который определяет, как и когда будет проведено тестирование плана.

Планы обеспечения бесперебойной работы организации необходимо обновлять при возникновении существенных изменений. Такими изменениями являются:

установка нового оборудования или модернизация функционирующих систем;
установка новых систем сигнализации или пожаротушения;
организационные изменения;
изменения в производственных процессах;
изменения в программном обеспечении;
изменения в процедурах обслуживания АС.

Необходимо назначить ответственного для отслеживания изменений и коррекции планов. Информацию об обновлении планов необходимо доводить до сведения сотрудников.

Документы по политике ИБ

Политика ИБ содержится в следующих документах:

концепция политики ИБ;
анализ рисков;
определение требований к средствам защиты и выбор основных решений по обеспечению режима ИБ;
должностные инструкции персонала и пользователей АС (разрабатывается на этапе "Рабочая документация, относящаяся к обеспечению режима ИБ");
обеспечение бесперебойной работы организации.

11. Документация, относящаяся к обеспечению режима ИБ

Управление доступом пользователей

Для управления процессом предоставления прав доступа к информационным системам требуется разработать формальные процедуры.

Эти процедуры должны включать в себя все стадии жизненного цикла управления доступом пользователей - от начальной регистрации новых пользователей до удаления учетных записей пользователей, которые больше не нуждаются в доступе к информационным сервисам. Особое внимание следует уделить необходимости управления процессом предоставления привилегированных прав доступа, которые позволяют пользователям обойти средства системного контроля.

Организация работы персонала

Должностные инструкции персонала

Для персонала, допущенного к работе в АС, должны существовать должностные инструкции, в которых устанавливаются обязанности и ответственность за обеспечение информационной безопасность в соответствии с принятой политикой информационной безопасности.

В инструкциях необходимо отразить как общую ответственность за проведение в жизнь или поддержку политики безопасности, так и конкретные обязанности по защите определенных ресурсов или ответственность за выполнение определенных процедур или действий по защите. При разработке инструкций рекомендуется учитывать следующие аспекты.

Работа с носителями информации

Должны быть подготовлены инструкции по работе со всеми носителями конфиденциальных данных: документов, магнитных лент, дисков, отчетов, и др. Предлагается рассмотреть следующие пункты:

правила работы с носителями информации и их маркировка;
регистрация получателей данных, имеющих соответствующие полномочия;
обеспечение полноты входных данных;
подтверждение получения переданных данных (по необходимости);
предоставление доступа к данных минимальному числу лиц;
маркировка всех копий данных для получателя, имеющего соответствующие полномочия;
своевременное обновление списков получателей с правом доступа к данным.

Уничтожение носителей информации

В организации должны существовать инструкции по уничтожению носителей информации. Предлагаются следующие рекомендации:

Носители данных, содержащих конфиденциальную информацию, необходимо уничтожать посредством их сжигания или измельчения (для бумажных носителей), или стирать (для магнитных носителей) при повторном использовании.
Для идентификации носителей данных, которые могут потребовать уничтожения, предлагается использовать специальные идентификаторы.
В некоторых случаях будет проще уничтожать все ненужные носители данных, чем пытаться выделить из них носители, на которых записана конфиденциальная информация.
Каждый случай удаления носителей конфиденциальной информации необходимо (по возможности) регистрировать в контрольном журнале.
При накоплении информации, подлежащей удалению, следует учитывать, что зачастую большое количество несекретной информации содержит более важную информацию, чем малое количество секретной информации.

Администрирование АС

Администратор АС должен обеспечивать надежную работу АС и соответствие требованиям информационной безопасности.

Обязанности администратора АС и процедуры по администрированию должны быть изложены в должностной инструкции.

Должны быть описаны инструкции по выполнению каждого задания, в том числе:

допустимые процедуры оперирования с файлами данных;
требования к планированию выполнения заданий;
инструкции по обработке ошибок и других исключительных ситуаций, которые могут возникнуть во время выполнения заданий, в том числе ограничения на использование системных утилит;
обращение за помощью в случае возникновения технических и других проблем, связанных с эксплуатацией АС;
порядок получения выходных данных и обеспечение их конфиденциальности, включая процедуры надежного удаления выходной информации от в случае сбоев заданий;
процедуры перезапуска и восстановления работоспособности систем, используемые в случае их отказа.

Должны быть подготовлены инструкции для работ по обслуживанию систем, связанных с администрированием АС, в том числе процедуры запуска и останова АС, резервное копирование данных, техническое обслуживание оборудования.

Работа с представителями сторонних организаций

Привлечение представителей сторонних организаций к работе в АС может привести к дополнительному риску нарушения режима информационной безопасности.

Необходимо заблаговременно выявить такой риск и принять меры по его уменьшению. Следует рассмотреть следующие вопросы:

выявить особо уязвимые или критически важные приложения, вынос которых за пределы организации нежелателен;
получать санкции на использование приложений от их владельцев;
в инструкциях должны быть описаны правила работы с представителями сторонних организаций, проверка соблюдения требований информационной безопасности.

12. Обеспечение ИБ в процессе подготовки к эксплуатации АС

Обучение пользователей и персонала

Пользователи и персонал должны быть обучены соблюдению режима ИБ, правильному обращению с информационными ресурсами. Они должны знать об угрозах нарушения режима ИБ и иметь необходимые навыки для работы в АС. Рекомендуется утвердить права и ограничения на доступ пользователям в письменной форме.

Организация физической защиты и контроля за соблюдением режима ИБ

Должны быть рассмотрены следующие вопросы.

Контроль доступа в помещения

Контроль доступа в помещения и общие меры по защите оборудования являются составной частью мер по обеспечению ИБ. Оборудование, критически важные или уязвимые элементы системы, должны быть размещены в защищенных областях, ограниченных периметром безопасности, с надлежащим контролем доступа в помещения. Для уменьшения риска несанкционированного доступа или повреждения документации и носителей информации, рекомендуется задать правила использования рабочего стола.

Обеспечение конфиденциальности

Пользователи информационных ресурсов организации должны подписать обязательство о сохранении конфиденциальности (неразглашении). Особое внимание следует уделить процедуре предоставления доступа к информационным ресурсам пользователям из сторонних организаций. Для этого должны быть разработаны специальные правила.

Журналы регистрации событий

Необходимо подготовить журнал регистрации выполняемых заданий, который будут вести операторы АС. Этот журнал должен включать:

время запуска и останова систем;
системные ошибки, сбои и предпринятые меры.

Обеспечение защиты документации по АС

Документация по АС может содержать описание прикладных процессов, структур данных и процессов подтверждения полномочий. В этом случае она должна быть защищена от несанкционированного доступа. Рекомендуется применять следующие средства контроля:

список лиц с правом доступа к документации должен быть максимально ограничен, а разрешение на ее использование должно выдаваться владельцем приложения;
печатные материалы, создаваемые в процессе работы АС и относящиеся к документации, следует хранить отдельно от прочих материалов и распространять на них правила ограничения доступа.

Доступ к носителями информации и их защита

Необходимо организовать контроль доступа к носителям информации и обеспечить их физическую защиту. Для доступа к носителями информации с конфиденциальной информацией необходимо иметь утвержденные правила. При организации системы доступа следует учитывать следующее:

система идентификации носителей должна быть такова, чтобы по меткам, используемым для идентификации носителей, нельзя было определить, какая информация хранится;
необходимо своевременно стирать содержимое повторно используемых носителей информации, если они больше не нужны
вынос носителей информации из хранилища необходимо фиксировать в контрольном журнале;
хранение всех носителей информации в надежном, защищенном месте в соответствии с инструкциями.

Все процедуры и уровни полномочий должны быть задокументированы.

Организация доступа для работы в АС

На этапе подготовительной работы по организация доступа в АС рекомендуется рассмотреть следующие вопросы.

Регистрация пользователей

Должны существовать документы с описанием доступных пользователю сервисов, допустимых правил работы в АС и правил обеспечения режима ИБ. Сервисы АС должны не предоставлять доступ пока не будут закончены процедуры определения полномочий. Для управления доступом к многопользовательским сервисам должна быть разработана процедура регистрации пользователей. Эта процедура должна:

проверять, предоставлено ли пользователю разрешение на использование сервиса ответственным за его использование;
вести учет всех зарегистрированных лиц, использующих АС;
проверять, достаточен ли уровень доступа пользователя к системе и не противоречит ли он политике безопасности, принятой в организации, например, не компрометирует ли он принцип разделения обязанностей;
своевременно изымать права доступа у пользователей, покинувших организацию;
периодически проверять и удалять устаревшие идентификаторы и учетные записи, которые больше не требуются.

Управление привилегиями

Использование специальных привилегий следует ограничить и контролировать, поскольку это один из основных факторов, способствующих нарушению режима ИБ. В многопользовательских АС должна существовать система контроля предоставления привилегий. При организации такой системы рекомендуется:

идентифицировать привилегии, связанные с каждым программным продуктом или сервисом, поддерживаемым системой, а также категории сотрудников, которым их необходимо предоставить;
предоставлять привилегии отдельным лицам только в случае крайней необходимости и в зависимости от ситуации, т.е. только когда они нужны для выполнения ими своих функций;.
реализовать автоматический процесс определения полномочий и вести учет всех предоставленных привилегий;
по возможности использовать системные программы, для которых нет необходимости предоставлять специальные привилегии пользователям;
пользователи, имеющие большие привилегии для специальных целей, должны использовать другой пользовательский идентификатор для обычной работы.

Управление пользовательскими паролями

Назначение паролей необходимо контролировать. Примерные требования к системе контроля должны быть следующими:

обязать пользователей хранить персональные пароли и пароли рабочих групп в секрете;
когда пользователи должны сами выбирать свои пароли, выдать им надежные временные пароли, которые они обязаны немедленно сменить. Временные пароли также выдаются в случае, когда пользователи забывают свои пароли;
передавать временные пароли пользователям надежным способом. Следует избегать передачу паролей через посредников или посредством незащищенных (незашифрованных) сообщений электронной почты. Пользователи должны подтвердить получение паролей.

Пересмотр прав доступа пользователей

Для обеспечения эффективного контроля за соблюдением режима ИБ, необходимо организовать процесс пересмотра прав доступа пользователей через регулярные промежутки времени. Такой процесс должен обеспечивать:

пересмотр полномочий доступа пользователей через регулярные промежутки времени, рекомендуется период в 6 месяцев;
пересмотр разрешения на предоставление специальных привилегированных прав доступа через более короткие промежутки времени, рекомендуется период в 3 месяца.

13. Обеспечение режима ИБ при эксплуатации АС

Контроль за работой пользователей

Реализация политики предоставления пользователям доступа к ресурсам АС.

Пользователи должны знать свои обязанности по обеспечению контроля доступа, особенно что касается использования паролей. Доступ пользователя к ресурсам АС должен предоставляться в соответствии с политикой управления доступом. В частности, рекомендуется предоставить пользователям только прямой доступ к сервисам, использование которых им разрешено. Особое внимание администраторам безопасности следует уделять контролю сетевых подключений к конфиденциальным или критически важным приложениям, а также контролю за работой пользователей в зонах повышенного риска, например, в общедоступных местах или местах, находящихся вне организации.

Управление доступом к рабочим местам в АС.

Доступ к рабочим местам в АС следует предоставлять только зарегистрированным пользователям. Системы управления доступом должны обеспечивать:

идентификацию и аутентификацию пользователей, а также при необходимости терминала и местонахождение каждого зарегистрированного пользователя;
ведение журнала учета попыток доступа (успешных и неудачных) к АС;
по необходимости ограничивать подключение пользователей в неурочное время.

Использование паролей

Пользователи должны следовать установленным процедурам поддержания режима ИБ при выборе и использовании паролей. Предлагаются следующие рекомендации по выбору и использованию паролей:

рекомендуется выбирать пароли, содержащих не менее шести символов;
при выборе паролей не следует использовать:
- месяцы года, дни недели и т.п,
- фамилии, инициалы, регистрационные номера автомобилей;
- названия и идентификаторы организаций;
- номера телефонов или группы символов, состоящие из одних цифр;
- более двух одинаковых символов, следующих друг за другом;
- группы символов, состоящие из одних цифр или одних букв;
изменять пароли через регулярные промежутки времени (приблизительно через месяц) и избегать повторного или "циклического" использования старых паролей;
чаще изменять пароли для привилегированных системных ресурсов, например, пароли доступа к определенным системным утилитам;
изменять временные пароли при первом входе в системы;
не включать пароли в процедуры автоматического входа в системы, например, в макросы или функциональные клавиши;
не допускать использования одного пароля несколькими пользователями;
обеспечивать хранение паролей в секрете;
изменять пароли всякий раз, когда есть указания на возможную компрометацию паролей;
если пользователям необходим доступ к нескольким сервисам, защищенным паролями, то им рекомендуется использовать один надежный пароль.

Пользовательское оборудование, оставленное без присмотра

Пользователи должны обеспечить надлежащую защиту оборудования, оставленного без присмотра. Оборудование, установленное на рабочих местах пользователей (например рабочие станции или файловые серверы) может потребовать организации защиты от несанкционированного доступа. Пользователи должны знать процедуры защиты оборудования, оставленного без присмотра, а также свои обязанности по обеспечению такой защиты. Предлагаются следующие рекомендации:

завершить сеансы связи по окончанию работы, если их нельзя защитить посредством соответствующей блокировки;
использовать логическое отключение от серверов по окончании сеанса связи. Не ограничиваться только выключением ПК или терминала;
защитить не используемые ПК или терминалы путем блокировки ключом или других средства контроля доступа.

Отслеживание времени простоя терминалов

Для бездействующих терминалов в зонах с повышенным риском нарушения ИБ (в общедоступных местах или местах, находящихся вне пределов досягаемости администраторов безопасности организации) необходимо установить допустимое время простоя для предотвращения доступа незарегистрированных пользователей. По истечении этого времени экран терминала должен очищаться, а сеансы связи с приложениями и сетевыми сервисами завершаться. Допустимое время простоя должно задаваться исходя из анализа риска несанкционированного доступа к пользовательскому терминалу.

Ограничение периода подключения

Дополнительную защиту сервисов от НСД можно обеспечить посредством ограничения допустимого периода подключения. Ограничение разрешаемого периода подключения терминала к АС позволяет уменьшить вероятность НСД к ресурсам АС. Возможность применения такого средства контроля следует рассмотреть для АС с терминалами, установленными в зонах повышенного риска нарушения ИБ (в общедоступных местах или местах, находящихся вне пределов досягаемости администраторов безопасности). Примерами таких ограничений являются:

использование определенных интервалов времени разрешенного доступа, например, для пакетной передачи файлов, или регулярных интерактивных сеансов связи небольшой продолжительности;
ограничение времени подключения обычными часами работы организации, и получение специального разрешения для работы в сверхурочное время.

Ограничение доступа к сервисам

Пользователям и обслуживающему персоналу АС следует предоставлять доступ к сервисам в соответствии с принятой политикой управления доступом к информации. Рекомендуется рассмотреть возможность использования следующих средства контроля:

доступ к приложениям (сервисам) через систему меню, обеспечивающую контроль полномочий доступа пользователей;
ограничение доступа пользователей к информации о структурах данных и функциях АС, доступ к которым им не разрешен, посредством соответствующего редактирования пользовательской документации;
контроль за выходной информацией приложений на предмет содержания в них конфиденциальной информации. Такая информация должна посылаться только на определенные терминалы и компьютеры. Должен проводится периодический анализ выходной информации и при необходимости лишняя информация должна удаляться.

Защита целостности данных и программ от вредоносного программного обеспечения.

В настоящее время существует ряд вредоносных методов, позволяющих нарушать целостности данных и программ: "компьютерные вирусы", "сетевые черви", "Троянские кони" и "логические бомбы". Администраторы АС и пользователи должны быть всегда готовы к возможности проникновения вредоносного программного обеспечения в АС и принимать меры по обнаружению его внедрения и ликвидации последствий его атак.

Защиты от вирусов

В основе защиты от вирусов должны лежать знание и понимание правил безопасности, надлежащие средства управления доступом к системам. В частности:

организация должна проводить политику, требующую установки только лицензированного программного обеспечения;
противовирусные программные средства должны регулярно обновляться и использоваться для профилактических проверок (желательно ежедневных);
необходимо проводить регулярную проверку целостности критически важных программ и данных. Наличие лишних файлов и следов несанкционированного внесения изменений должно быть зарегистрировано в журнале и расследовано;
дискеты неизвестного происхождения следует проверять на наличие вирусов до их использования;
необходимо строго придерживаться установленных процедур по уведомлению о случаях поражения АС компьютерными вирусами и принятию мер по ликвидации последствий от их проникновения;
следует иметь планы обеспечения бесперебойной работы организации для случаев вирусного заражения, в том числе планы резервного копирования всех необходимых данных и программ и их восстановления. Эти меры особенно важны для сетевых файловых серверов, поддерживающих большое количество рабочих станций.

Управление доступом к сервисам

Электронная почта

В организации должны быть заданы четкие правила, касающиеся статуса и использования электронной почты. Для уменьшения риска нарушения ИБ, связанного с применением электронной почты, рекомендуется:

учитывать уязвимость электронных сообщений по отношению к несанкционированному перехвату и модификации;
учитывать возможность неправильной адресации или направления сообщений не по назначению, а также надежность и доступность сервиса в целом.

Систем электронного документооборота

При использовании систем электронного документооборота следует принять во внимание выполнение требований ИБ:

необходимость исключения некоторых категорий конфиденциальной информации, в случае, если в данной системе не обеспечивается надлежащий уровень защиты;
необходимость определения правил и средств контроля для администрирования коллективно используемой информации, например, использование электронных досок объявлений;
использование средств ограничения доступа к информации, относящейся к различным рабочим группам;
определить категории персонала и представителей сторонних организаций, которым разрешено использовать систему и места, из которых можно получить доступ к ней.

Управление доступом к приложениям

Для предотвращения несанкционированного доступа к информации в АС, необходимо использовать логические средства контроля доступа. Логический доступ к приложениям следует предоставлять только зарегистрированным пользователям. Приложения должны:

контролировать доступ пользователей к данным и приложениям в соответствии с политикой управления доступом, принятым в организации;
обеспечивать защиту от несанкционированного доступа к системным программ, которые способны обойти средства контроля и обеспечивают возможность НСД;
не нарушать защиту других систем, с которыми они разделяют информационные ресурсы.

Использование системных программ

В АС могут использоваться системные программы, способные обойти средства контроля ОС и приложений. Необходимо ограничить и тщательно контролировать использование таких системных утилит. Рекомендуется использовать следующие средства контроля (по возможности):

защита системных утилит с помощью паролей;
изоляция системных утилит от прикладного программного обеспечения;
предоставление доступа к системным утилитам минимальному числу пользователей;
предоставление специального разрешения на использование системных утилит;
ограничение доступности системных утилит, например, временем внесения санкционированного изменения;
регистрация всех случаев использования системных утилит;
определение и документирование уровней полномочий доступа к системным утилитам;
удаление всех ненужных утилит и системных программ

Управление доступом к библиотекам исходных текстов программ

Для сведения риска повреждения программного обеспечения к минимуму, необходимо осуществлять жесткий контроль за доступом к библиотекам исходных текстов программ. Рекомендуется придерживаться следующих правил:

не хранить библиотеки исходных текстов программ в АС;
назначить ответственного за хранение библиотеки исходных текстов программ;
распечатки программ следует хранить в библиотеках исходных текстов;
ограничить доступ к библиотекам исходных текстов программ;
не хранить разрабатываемые программы в библиотеках исходных текстов рабочих программ
обновление библиотек исходных текстов программ и выдача текстов программ программистам должны производиться только назначенным ответственным сотрудником после получения разрешения на доступ к приложению в установленной форме;
необходимо фиксировать все случаи доступа к библиотекам исходных текстов программ в контрольном журнале;
устаревшие версии исходных текстов программ следует архивировать с указанием даты окончания их использования вместе со всем вспомогательным программным обеспечением и информацией об организации выполнением заданий для этой версии ПО;
сопровождение и копирование библиотек исходных текстов программ необходимо осуществлять в соответствии с процедурами управления процессом внесения изменений.

Изоляция уязвимых мест в защите АС

При наличии уязвимых мест в защите АС может потребоваться организация выделенной (изолированной) вычислительной среды. Возможно применение других специальных мер: запуск приложения на выделенном компьютере или разделения ресурсов только с надежными прикладными системами. В общем случае рекомендуется придерживаться следующих правил:

уязвимые места в АС должна быть явно определены и задокументированы;
когда уязвимое приложение запускается в коллективно используемой среде, необходимо явно указать прикладные процессы, с которыми оно может работать одновременно.

Отслеживание событий, представляющих угрозу ИБ

Для выявления несанкционированных действий и обеспечения соответствия политике управления доступом рекомендуется соблюдать правила, перечисленные ниже.

Регистрация событий.

Все чрезвычайные ситуации и события, связанные с нарушением режима ИБ, необходимо регистрировать в журнале. Журнал следует хранить в течение заданного промежутка времени. Кроме неудавшихся попыток входа в систему, целесообразно также регистрировать случаи успешного доступа. Контрольный журнал должен включать следующее:

идентификаторы пользователей;
дата и время входа и выхода из системы;
идентификатор или местонахождение терминала (по возможности).

Слежение за использованием сервисов.

Необходимо установить процедуры слежения за использованием сервисов АС. Пользователи должны использовать только явно разрешенные сервисы. Уровень контроля следует определить с помощью оценки рисков. Рекомендуется следить за следующими событиями:

неудачные попытки доступа в АС;
попытки несанкционированного использования или восстановленных пользовательских идентификаторов;
использование ресурсов с привилегированным доступом;
отдельных действий, потенциально опасные с точки зрения нарушения режима ИБ;
использование конфиденциальных ресурсов.

Все действия, связанные со слежением и регистрацией, должны быть формально разрешены руководством.

Синхронизация системных часов.

Для обеспечения точности контрольных журналов важно правильно установить системные часы и своевременно корректировать их в случае значительного ухода .