Управление информационной безопасностью

в) не нарушать защиту других систем, с которыми они разделяют информационные ресурсы.

Ограничение доступа к информации

Пользователям прикладных систем, в том числе обслуживающему персоналу следует предоставлять доступ к данным и приложениям в соответствии с политикой управления доступом к информации (см. Документированная политика управления доступом к информации), принятой в организации, исходя из индивидуальных потребностей в производственных приложениях. Чтобы удовлетворить требования политики управления доступом, необходимо рассмотреть следующие средства контроля:

а) предоставление системы меню для контроля доступа к приложениям;

б) ограничение знания пользователями данных и функций прикладных систем, доступ к которым им не разрешен, посредством соответствующего редактирования пользовательской документации;

в) контроль полномочий доступа пользователей, например, прав на чтение, запись, удаление, выполнение;

г) гарантирование того, что выходные данные от прикладных систем, поддерживающих конфиденциальную информацию, содержат только необходимые данные и посылаются только на терминалы и компьютеры, доступ к которым разрешен, включая периодический анализ таких выходных данных для обеспечения удаления ненужной информации.

Использование системных утилит

Большинство компьютерных систем поддерживают одну или несколько системных программ-утилит, которые способны обойти средства контроля системы и приложений. Необходимо ограничить и тщательно контролировать использование таких системных утилит. Предлагается использовать следующие средства контроля (по возможности):

а) защита системных утилит с помощью паролей;

б) изоляция системных утилит от прикладного программного обеспечения;

в) предоставление доступа к системным утилитам минимальному числу надежных, зарегистрированных пользователей;

г) предоставление разрешения на специальное использование системных утилит;

д) ограничение доступности системных утилит, например, временем внесения санкционированного изменения;

е) регистрация всех случаев использования системных утилит;

ж) определение и документирование уровней полномочий доступа к системным утилитам;

з) удаление всех ненужных утилит и системных программ.

Управление доступом к библиотекам исходных текстов программ

Для сведения риска повреждения компьютерных программ к минимуму, необходимо осуществлять жесткий контроль за доступом к библиотекам исходных текстов программ (см. также Средства защиты от вирусов):

а) Не следует хранить библиотеки исходных текстов программ в рабочих системах (по возможности).

б) Необходимо назначить библиотекаря программ для каждого приложения.

в) Обслуживающий персонал не должен иметь неограниченный доступ к библиотекам исходных текстов программ.

г) Не следует хранить разрабатываемые или сопровождаемые программы в рабочих библиотеках исходных текстов программ.

д) Обновление библиотек исходных текстов программ и выдача текстов программ программистам должны производиться только назначенным библиотекарем после получения санкции на доступ к приложению от руководителя обслуживающего персонала.

е) Распечатки программ следует хранить в защищенном месте (см. Защита системной документации).

ж) Необходимо фиксировать все случаи доступа к библиотекам исходных текстов программ в контрольном журнале.

з) Устаревшие версии исходных текстов программ следует архивировать с четким указанием точной даты и времени их использования вместе со всем вспомогательным программным обеспечением и информацией об управлении выполнением заданий, определением данных и процедур.

и) Сопровождение и копирование библиотек исходных текстов программ необходимо осуществлять в соответствии со строгими процедурами управления процессом внесения изменений (см. Процедуры управления процессом внесения изменений).

Изоляция уязвимых систем

Уязвимые системы могут потребовать выделенную (изолированную) вычислительную среду. Некоторые прикладные системы настолько уязвимы по отношению к возможной потере данных, что требуют специального обращения.

Уязвимость может указывать на необходимость запуска приложения на выделенном компьютере или разделения ресурсов только с надежными прикладными системами. Приложение также может не иметь никаких ограничений. Предлагаются следующие рекомендации:

а) Уязвимость прикладной системы должна быть явно определена ее владельцем и задокументирована (см. Распределение обязанностей по обеспечению информационной безопасности).

б) В случае, когда уязвимое приложение запускается в коллективно используемой среде, необходимо идентифицировать прикладные системы, с которыми оно будет разделять ресурсы, и согласовать их использование с владельцем этого приложения.

Слежение за доступом к системам и их использованием

Цель: Выявить несанкционированные действия.

Для обеспечения соответствия политике управления доступом и стандартам необходимо следить за системами.

Это необходимо для того, чтобы определить эффективность принятых мер и обеспечить соответствие модели политики управления доступом (см. Документированная политика управления доступом к информации).

Регистрация событий

Все чрезвычайные ситуации и события, связанные с нарушением режима безопасности, необходимо регистрировать в контрольном журнале. Записи в таком журнале следует хранить в течение заданного промежутка времени для оказания помощи в будущих расследованиях и осуществлении контроля за доступом. Кроме отвергнутых попыток входа в системы, целесообразно также регистрировать случаи успешного доступа к ним. Контрольный журнал должен включать следующие данные:

                   идентификаторы пользователей;

                   дата и время входа и выхода из системы;

                   идентификатор или местонахождение терминала (по возможности).

Слежение за использованием систем

Необходимо установить процедуры слежения за использованием систем.

Такие процедуры требуются для обеспечения выполнения пользователями только явно разрешенных процессов. Уровень контроля, требуемый для отдельных систем, следует определить с помощью независимой оценки рисков. Необходимо рассмотреть следующие пункты:

                   неудачные попытки доступа к системам;

                   анализ сеанса входа в систему на предмет выявления несанкционированного использования или восстановленных пользовательских идентификаторов;

                   выделение и использование ресурсов с привилегированным доступом;

                   отслеживание отдельных действий;

                   использование конфиденциальных ресурсов.

Все действия, связанные со слежением за системами, должны быть формально разрешены руководством.

Синхронизация системных часов

Для обеспечения точности контрольных журналов, которые могут потребоваться для расследований или в качестве свидетельства во время судебных разбирательств и при наложении дисциплинарных взысканий, важно правильно установить системные часы компьютеров. Неточные контрольные журналы могут помешать таким расследованиям и подорвать доверие к такому свидетельству.

В тех случаях, когда компьютер или коммуникационное устройство поддерживает часы реального времени, необходимо их установить в соответствии с принятым стандартом, например, на Гринвичское среднее время или местное стандартное время. Поскольку некоторые часы, как известно, уходят со временем, необходимо иметь процедуру их проверки и коррекции в случае значительного ухода.

Раздел 8 Разработка и сопровождение информационных систем

Требования к безопасности систем

Цель: Обеспечить встроенность средств защиты в информационные системы.

Требования к безопасности должны быть определены и согласованы до разработки информационных систем.

Средства защиты оказываются значительно более дешевыми и эффективными, если их встроить в прикладные системы на стадиях задания требований и проектирования. Все требования к безопасности, включая необходимость перехода на аварийный режим для продолжения обработки информации, следует определить на стадии задания требований к проекту, а также обосновать, согласовать и задокументировать их в рамках общего плана работ по созданию информационной системы.

Анализ и задание требований к безопасности

Анализ требований к безопасности следует проводить на стадии анализа требований к каждому проекту разработки систем. При формулировании производственных требований к новым системам или модернизации существующих систем, необходимо задать требования к средствам управления безопасностью. Такие требования обычно сосредоточены на автоматических средствах контроля, встраивыемых в системы, однако следует также рассмотреть необходимость использования вспомагательных ╚ручных╩ средств управления безопасностью. Эти соображения следует также принять во внимание при качественной оценке пакетов программ для производственных приложений.

Требования к безопасности и средства управления ею должны отражать ценность информационных ресурсов для организации, а также возможные последствия от нарушения режима безопасности или отсутствия средств защиты для производственных процессов.

Основу анализа требований к безопасности составляют:

                   рассмотрение необходимости обеспечения конфиденциальности, целостности и доступности информационных ресурсов (см. Введение);

определение возможностей использования различных средств контроля для предотвращения и выявления случаев нарушения защиты, а также восстановления работоспособности систем после их выхода из строя и инцидентов в системе безопасности.

В частности, при проведении такого анализа следует рассмотреть необходимость:

а) управления доступом к информации и сервисам, включая требования к разделению обязянностей и ресурсов (см. Разделение обязанностей, Разделение программных средств разработки и рабочих программ и Раздел 7. Управление доступом к системам);

б) регистрации значительных событий в контрольном журнале для целей повседневного контроля или специальных расследований, в том числе как свидетельство при проведении переговоров с подрядчиками и другими лицами (см. Регистрация событий);

в) проверки и обеспечения целостности жизненно важных данных на всех или избранных стадиях их обработки (см. Проверка достоверности внутренней обработки данных и Аутентификация сообщений);

г) защиты конфиденциальных данных от несанкционированного раскрытия, в том числе возможное использование средств шифрования данных в специальных случаях (см. Шифрование данных);

д) выполнения требований инструкций и действующего законодательства, а также договорных требований, в том числе составление специальных отчетов для удовлетворения определенных правовых требований (см. Выполнение правовых требований);

е) снятия резервных копий с критически важных производственных данных (см. Резервное копирование данных);

ж)

восстановления систем после их отказов, особенно для систем с повышенными требованиями к доступности;

Примечание. Процедуры перехода на аварийный режим следует определить на стадии задания требований (см. Вопросы планирования бесперебойной работы организации).

з) защиты систем от внесения несанкционированных дополнений и изменений (см. Средства защиты от вирусов и Раздел 7. Управление доступом к системам);

и) предоставления возможности безопасного управления системами и их использования сотрудникам, не являющимся специалистами (но имеющих надлежащую подготовку) (см. Обучение пользователей);

и) обеспечения соответствия систем требованиям аудиторов, например, посредством использования таких средств, как встроенные программы-утилиты для выборочного контроля и независимое программное обеспечение для повторения критически важных вычислений.

Средства управления безопасностью, встроенные в компьютерные системы, могут быть скомпрометированы, если обслуживающий их персонал и пользователи не будут их знать. Поэтому необходимо явно определить эти средства контроля в соответствующей документации.

Примечание. Руководство возможно захочет воспользоваться независимо оцененными и сертифицированными программными продуктами, если это потребуется для уменьшения риска нарушения режима безопасности и удовлетворения производственных требований организации.

Безопасность в прикладных системах

Цель: Предотвратить потерю, модификацию и несанкционированное использование пользовательских данных в прикладных системах.

При проектировании прикладных систем необходимо встроить в них надлежащие средства управления безопасностью, в том числе средства регистрации событий в контрольном журнале.

Проектирование и эксплуатация систем должны соответствовать общепринятым промышленным стандартам обеспечения надежной защиты, определенным в настоящих практических правилах.

Примечание. Следует также принять во внимание соответствующее законодательство и договорные обязательства.

Системы, которые поддерживают или оказывают влияние на исключительно уязвимые, ценные или критически важные информационные ресурсы организации, могут потребовать принятия дополнительных мер противодействия. Такие меры следует определить исходя из рекомендаций специалиста по безопасности с учетом идентифицированных угроз нарушения защиты и возможных последствий от их реализации для организации.

Проверка достоверности входных данных

Чтобы обеспечить правильный ввод данных в прикладные системы необходимо проверять их на достоверность. Предлагаются следующие средства контроля:

а) проверки с целью выявления следующих ошибок:

       величины, выходящие за заданные пределы;

       неправильные символы в полях данных;

       пропущенные или неполные данные;

       превышенные верхние и нижние пределы на объем вводимых данных;

       несанкционированные или противоречивые управляющие данные;

б) периодический анализ содержания ключевых полей или файлов данных для подтверждения их достоверности и целостности;

в) осмотр печатной входной документации на предмет внесения несанкционированных изменений во входные данные (необходимо получить разрешение на внесение всех изменений во входные документы);

г) процедуры реагирования на ошибки, связанные с проверкой достоверности входных данных;

д) определение обязанностей всех сотрудников, участвующих в процессе ввода данных.

Проверка достоверности внутренней обработки данных

Данные, которые были правильно введены в прикладную систему, могут быть повреждены в результате ошибок обработки или преднамеренных действий. Чтобы выявить такие случаи повреждения данных, необходимо встроить средства проверки в системы. Требуемые для этого средства контроля определяются характером приложения и последствиями от повреждения данных для организации.