Управление информационной безопасностью

Раздел 6 Администрирование компьютерных систем и вычислительных сетей

Примечание: Уровень детализации и формальности процедур, требуемых для администрирования и обеспечения функционирования компьютерных систем и вычислительных сетей, существенно меняется в зависимости от размера организации и типа оборудования, а также от характера и уязвимости производственных приложений. Так, например, для крупной организации, имеющей обслуживаемые специалистами мэйнфреймы, требуется более обширный набор процедур и средств контроля, чем для небольшой организации, использующей ╚офисную╩ технологию. В принципе следует применять одни и те же процессы обеспечения безопасности в соответствующей интерпретации.

Операционные процедуры и обазанности

Цель: Обеспечить корректную и надежную работу компьютерных систем и вычислительных сетей.

Необходимо определить обязанности и процедуры по администрированию и обеспечению функционирования всех компьютеров и сетей.

Это должно быть подкреплено соответствующими рабочими инструкциями и процедурами реагирования на события. Для уменьшения риска небрежного или несанкционированного использования систем, следует по необходимости применять принцип разделения обязанностей (см. Разделение обязанностей).

Документированные операционные процедуры

Очевидно, что документированные операционные процедуры должны быть подготовлены для всех функционирующих компьютерных систем для обеспечения их корректной и надежной работы. Документированные процедуры следует также подготовить для работ, связанных с разработкой, сопровождением и тестированием систем, особенно если это требует поддержки и внимания со стороны других подразделений организации, например, отдела управления компьютерными системами.

Процедуры должны включать в себя подробные корректные инструкции по выполнению каждого задания, в том числе (по необходимости) следующие пункты:

а) корректное оперирование с файлами данных;

б) требования к планированию выполнения заданий, включая взаимосвязи с другими системами, а также самое раннее и самое позднее время начала и окончания выполнения заданий;

в) инструкции по обработке ошибок и других исключительных ситуаций, которые могут возникнуть во время выполнения заданий, в том числе ограничения на использование системных утилит (см. Использование системных утилит);

г) обращение за помощью к персоналу поддержки в случае возникновения технических и других проблем, связанных с эксплуатацией компьютерных систем;

д) специальные инструкции по оперированию с выходными данными, такими, как использование специальной бумаги для печатающих устройств или администрирование конфиденциальных выходных данных, включая процедуры надежного удаления выходной информации от сбойных заданий;

е) процедуры перезапуска и восстановления работоспособности систем, используемые в случае их отказа.

Документированные процедуры должны быть также подготовлены для работ по обслуживанию систем, связанных с администрированием компьютеров и сетей, в том числе процедуры запуска и останова компьютеров, резервное копирование данных, техническое обслуживание оборудования, управление компьютерными залами и обеспечение их защиты. Операционные процедуры должны рассматриваться как формальные документы, изменения в которые следует вносить только после их утверждения руководством, наделенным соответствующими полномочиями.

Процедуры реагирования на события

Для обеспечения своевременного, эффективного и организованного реагирования на события, таящие угрозу безопасности, необходимо определить соответствующие управленческие обязанности и процедуры. Предлагаются следующие рекомендации по определению процедур реагирования на события:

а) а. Процедуры должны включать в себя все возможные типы инцидентов в системе безопасности, в том числе:

       отказы систем и потеря сервиса;

       ошибки, проистекающие от неполноты или неточности производственных данных;

       случаи нарушения конфиденциальности.

б) Кроме обычного плана действий в экстремальных ситуациях (предназначенного для того, чтобы как можно быстрее восстановить работоспособность систем и сервисов), процедуры должны включать в себя:

       анализ и выявление причины инцидента;

       планирование и реализация мер по предотвращению повторения инцидента;

       ведение контрольного журнала регистрации событий и сбор аналогичной информации;

       взаимодействие с пользователями и другими лицами, пострадавшими от инцидента или участвующими в процессе восстановления систем.

в) Ведение контрольного журнала регистрации событий и сбор аналогичной информации необходимы для:

       анализа внутренних проблем;

       использования в качестве свидетельства возможного нарушения условий контракта или технических нормативов;

       ведения переговоров с поставщиками программных средств и услуг о выплате компенсации;

       использования в качестве свидетельства в случае судебных разбирательств, попадающих под законодательство о несанкционированном использовании компьютерных систем и защите данных.

г) Необходимо осуществлять тщательный и формальный контроль за мерами по восстановлению систем после нарушения режима безопасности и их отказов. Процедуры должны обеспечивать следующее:

       предоставление разрешения на доступ к рабочим системам и данным только персоналу, имеющему соответствующие полномочия;

       подробное документирование всех мер, предпринимаемых в чрезвычайных ситуациях;

       доведение мер, предпринимаемых в чрезвычайных ситуациях, до сведения руководства и их организованный анализ;

       подтверждение целостности производственных систем и средств управления безопасностью с минимальной задержкой.

Разделение обязанностей

Разделение обязанностей позволяет свести риск небрежного или несанкционированного использования систем к минимуму, поэтому следует уделить особое внимание разделению определенных обязанностей или зон ответственности, чтобы уменьшить вероятность несанкционированной модификации или использования данных и сервисов. В частности, рекомендуется, чтобы выполнение следующих функций не было поручено одним и тем же сотрудникам:

                   использование производственных систем;

                   ввод данных;

                   обеспечение функционирования компьютеров;

                   сетевое администрирование;

                   системное администрирование;

                   разработка и сопровождение систем;

                   управление процессом внесения изменений;

                   администрирование средств защиты;

                   контроль (аудит) средств защиты.

Примечание. Это средство контроля особенно важно для компьютеров, поддерживающих финансовые приложения.

Небольшие организации возможно найдут реализацию данного средства контроля труднодостижимым, однако его следует применять как можно шире.

Разделение программных средств разработки и рабочих программ

Работы, связанные с разработкой и тестированием систем, могут привести к непреднамеренному внесению изменений в программы и данные, совместно используемые в одной и той же вычислительной среде. Поэтому целесообразно провести разделение программных средств разработки и рабочих программ для уменьшения риска случайного внесения изменений или несанкционированного доступа к рабочему программному обеспечению и производственным данным. Предлагаются следующие средства контроля:

а) Программные средства разработки и рабочие программы должны по возможности запускаться на разных процессорах или в разных директориях/сегментах сети.

б) Работы по разработке и тестированию систем необходимо разнести настолько, насколько это возможно.

в) Компиляторы, редакторы и другие системные утилиты не должны храниться вместе с рабочими системами, если в этом нет необходимости.

г) Для уменьшения риска путанницы, следует использовать разные процедуры входа в рабочие и тестируемые системы. Необходимо приучать пользователей к использованию разных паролей для входа в эти системы, а система меню должна выводить на экран соответствующие идентификационные сообщения.

Работа со сторонними организациями

Привлечение подрядчика со стороны к администрированию компьютерных систем и вычислительных сетей может привести к дополнительному риску нарушения режима безопасности, например, к возможности компрометации, повреждения или потери данных в организации подрядчика. Необходимо заблаговременно выявить такой риск и включить в контракт надлежащие защитные меры по его уменьшению, согласованные с подрядчиком.

Примечание. Настоящие практические правила являются хорошей отправной точкой для задания, согласования и проверки соблюдения стандартов безопасности.

Следует рассмотреть следующие конкретные вопросы:

а) а. необходимость идентификации особо уязвимых или критически важных приложений, вынос которых за пределы организации нежелателен;

б) необходимость получения санкции на использование производственных приложений от их владельцев;

в) последствия для планов обеспечения бесперебойной работы организации;

г) стандарты безопасности, подлежащие определению, и процесс проверки их соблюдения;

д) обязанности и процедуры по уведомлению об инцидентах в системе безопасности и реагированию на них (Процедуры реагирования на события).

Примечание. Руководство по заключению договоров со сторонними организациями, предусматривающих получение доступа к вычислительным средствам организации, также приведено в Условиях безопасности в контрактах, заключенных со сторонними организациями.

Планирование систем и их приемка

Цель: Свести риск отказов систем к минимуму.

Для обеспечения доступности ресурсов и надлежащей нагрузочной способности систем, требуется заблаговременное планирование и подготовка.

Чтобы уменьшить риск перегрузки систем, необходимо оценить будущие потребности в их нагрузочной способности на основе прогноза. Эксплуатационные требования к новым системам следует определить, задокументировать и проверить до их приемки. Требования к переходу на аварийный режим для сервисов, поддерживающих многочисленные приложения, должны быть согласованы и регулярно пересматриваться.

Планирование нагрузки

Для того чтобы избежать отказов систем вследствие их недостаточной нагрузочной способности, необходимо постоянно следить за их нагрузкой. Для обеспечения надлежащей производительности компьютеров и емкости запоминающих устройств, следует оценить будущие потребности в их нагрузочной способности на основе прогноза. Этот прогноз должен учитывать требования к новым системам, а также текущие и прогнозируемые тенденции использования компьютеров и сетей.

Мэйнфреймы требуют особого внимания вследствие гораздо большей стоимости повышения их производительности и необходимого для этого времени. Администраторы мэйнфреймов должны постоянно следить за использованием ключевых системных ресурсов, включая процессоры, основную оперативную память, файловые запоминающие устройства, принтеры и другие устройства вывода, а также коммуникационные системы. Они должны определить тенденции использования ресурсов, особенно что касается использования производственных приложений или средств управленческой информационной системы.

Администраторы компьютеров и сетей должны использовать эту информацию для выявления возможных ╚узких мест╩, которые могут представлять угрозу системе безопасности или пользовательским сервисам, и планирования надлежащих мер по исправлению ситуации.

Приемка систем

Необходимо задать критерии приемки новых систем и провести соответствующие испытания до их приемки. Администраторы компьютеров должны четко определить, согласовать, задокументировать и проверить требования и критерии приемки новых компьютерных систем. Предлагается рассмотреть следующие пункты:

а) требования к производительности и нагрузочной способности компьютеров;

б) подготовка процедур восстановления и перезапуска систем после сбоев, а также планов действий в экстремальных ситуациях;

в) подготовка и тестирование повседневных операционных процедур в соответствии с заданными стандартами;

г) указание на то, что установка новой системы не будет иметь пагубных последствий для функционирующих систем, особенно в моменты пиковой нагрузки на процессоры (например, в конце месяца);

д) подготовка персонала к использованию новых систем.

Для обеспечения эффективной работы предлагаемой системной конфигурации, следует консультироваться по вопросам поддержания ее работоспособности на всех стадиях процесса разработки новых систем. Для подтверждения полного соответствия всем критериям приемки систем, необходимо провести соответствующие испытания.

Планирование перехода на аварийный режим

Аварийное резервное оборудование предоставляет возможность временного продолжения обработки данных в случае повреждения или отказа основного оборудования. Администраторы компьютеров и сетей должны подготовить соответствующий план перехода на аварийный режим для каждого информационного сервиса.

Требования к переходу на аварийный режим для отдельных систем должны быть заданы владельцами производственных приложений исходя из процесса планирования бесперебойной работы организации (см. Процесс планирования бесперебойной работы организации). Поставщики услуг должны согласовать требования к переходу на аварийный режим для коллективно используемых сервисов и составить соответствующий план перехода на него для каждого из них.

Аварийное резервное оборудование и процедуры перехода на аварийный режим необходимо регулярно тестировать.

Управление процессом внесения изменений в рабочие системы

Внесение изменений в информационные системы необходимо контролировать. Недостаточный контроль за внесением изменений в информационные системы является распространенной причиной их отказов и нарушения режима безопасности. Поэтому следует определить формальные управленческие процедуры и обязанности для обеспечения удовлетворительного контроля за внесением всех изменений в оборудование, программы и процедуры. В частности, необходимо рассмотреть следующие пункты: