категорирование информации и информационных систем. обеспечение базового уровня информационной безопасностиПродолжение. Начало в «Сетевых решениях» 8 за 2006 год.дополнительные и усиленные регуляторы безопасности для умеренного уровня ИБДля умеренного уровня информационной безопасности целесообразно применение следующих дополнительных и усиленных (по сравнению с минимальным уровнем) регуляторов безопасности.оценка рисковСканирование уязвимостей. С заданной частотой или после появления сведений о новых критичных для ИС уязвимостях необходимо сканировать уязвимости в информационной системе.планирование безопасностиПланирование деятельности, связанной с безопасностью. Обеспечение должного планирования и координации деятельности, связанной с безопасностью и затрагивающей информационную систему, с целью минимизации отрицательного воздействия на работу и активы организации (в том числе на ее миссию, функции, имидж и репутацию).закупка систем и сервисовДокументация. Необходимо включать в общий пакет документов документацию от изготовителя/поставщика (при наличии таковой), описывающую функциональные свойства регуляторов безопасности, задействованных в информационной системе, достаточно детальную для того, чтобы сделать возможным анализ и тестирование регуляторов.Принципы проектирования информационной безопасности. Проектирование и реализация информационной системы проводится с применением принципов проектирования информационной безопасности.Тестирование безопасности разработчиком. Разработчик информационной системы формирует план тестирования и оценки безопасности, реализует его и документирует результаты; последние могут быть использованы для поддержки сертификации по требованиям безопасности и аккредитации поставленной ИС.сертификация, аккредитация и оценка безопасностиОценка безопасности. С заданной частотой, но не реже, чем раз в год, целесообразно проводить оценку регуляторов безопасности в информационной системе, чтобы определить, насколько они корректно реализованы, функционируют в соответствии со спецификациями и дают ожидаемые результаты с точки зрения выполнения предъявляемых к ИС требований информационной безопасности.Сертификация по требованиям безопасности. Оценка регуляторов безопасности в информационной системе для целей сертификации по требованиям безопасности проводится независимой сертифицирующей организацией.физическая защитаКонтроль доступа к устройствам отображения информации. Контроль физического доступа к устройствам отображения информации с целью защиты последней от просмотра неавторизованными лицами.Мониторинг физического доступа. В режиме реального времени отслеживаются поступающие сигналы о вторжениях и данные со следящих устройств. Контроль посетителей. Обеспечение сопровождения посетителей и, если нужно, мониторинга их активности.Электрическое оборудование и проводка. Защита электрического оборудования и проводки для информационной системы от повреждений и разрушений. Аварийное отключение. Для определенных помещений, в которых концентрируются ресурсы информационной системы (центры обработки данных, серверные комнаты, машинные залы для мэйнфреймов и т.п.), следует обеспечить возможность отключения электропитания к любому отказавшему (например, из-за короткого замыкания) или оказавшемуся под угрозой (например, из-за разрыва водопровода) компоненту ИС, не подвергая при этом персонал опасности, сопряженной с доступом к оборудованию.Аварийное электропитание. Применение краткосрочных источников бесперебойного питания, чтобы дать возможность аккуратно выключить информационную систему в случае нарушения основного электропитания.Противопожарная защита. Необходимо применять и поддерживать устройства/системы пожаротушения и обнаружения возгорания, автоматически срабатывающие в случае пожара.Запасная производственная площадка. Сотрудники организации на запасной производственной площадке применяют соответствующие регуляторы безопасности для ИС.Расположение компонентов информационной системы. Следует располагать компоненты информационной системы на отведенных площадях так, чтобы минимизировать потенциальный ущерб от физических рисков и угроз со стороны окружающей среды, а также возможность несанкционированного доступа.планирование бесперебойной работыПлан обеспечения бесперебойной работы. Организация координирует разработку плана обеспечения бесперебойной работы со структурами, ответственными за родственные планы (например, планы восстановления после аварий, реагирования на нарушения безопасности и т.п.).Обучение. В компании организуется обучение сотрудников их ролям и обязанностям по обеспечению бесперебойной работы информационной системы, а также с заданной частотой, но не реже, чем раз в год, проводятся тренировки для поддержания практических навыков.Тестирование плана обеспечения бесперебойной работы. С заданной частотой, но не реже, чем раз в год, в организации тестируется план обеспечения бесперебойной работы информационной системы. Для этого применяются заданные тесты и тренировочные процедуры, чтобы определить эффективность плана и готовность организации к его выполнению. Соответствующие должностные лица проверяют результаты тестирования плана и инициируют корректирующие действия. Организация координирует тестирование плана обеспечения бесперебойной работы со структурами, ответственными за родственные планы (например, планы восстановления после аварий, реагирования на нарушения безопасности и т.п.).Запасные места хранения. Необходимо определить запасное место хранения и заключить необходимые соглашения, чтобы сделать возможным хранение там резервных копий данных информационной системы; запасное место хранения территориально должно быть удалено от основного, чтобы не подвергать его тем же опасностям.Запасные места обработки данных. Определяется запасное место обработки данных, и инициируются необходимые соглашения, чтобы сделать возможным возобновление выполнения информационной системой критически важных производственных функций в течение заданного промежутка времени, если основные средства обработки данных оказываются недоступными. Запасное место обработки данных территориально удалено от основного и, следовательно, не подвержено тем же опасностям. Определяются потенциальные проблемы с доступом к запасному месту обработки данных в случае широкомасштабных аварий или стихийных бедствий, намечаются явные действия по смягчению выявленных проблем. Соглашение о запасном месте обработки данных содержит обязательства приоритетного обслуживания в соответствии с требованиями организации к доступности.Телекоммуникационные услуги. Определяются основной и запасной источники телекоммуникационных услуг, поддерживающих информационную систему. Инициируются необходимые соглашения, чтобы сделать возможным возобновление выполнения информационной системой критически важных производственных функций в течение заданного промежутка времени, если основной источник телекоммуникационных услуг оказывается недоступным. Соглашения об основном и запасном источниках телекоммуникационных услуг содержат обязательства приоритетного обслуживания в соответствии с требованиями организации к доступности. Запасной источник телекоммуникационных услуг не разделяет единую точку отказа с основным источником.Резервное копирование. С заданной частотой в организации тестируются резервные копии, чтобы убедиться в надежности носителей и целостности данных.управление конфигурациейБазовая конфигурация и опись компонентов информационной системы. При установке новых компонентов изменяются базовая конфигурация информационной системы и опись компонентов ИС.Контроль изменений конфигурации. Документируются и контролируются изменения в информационной системе; соответствующие должностные лица санкционируют изменения ИС в соответствии с принятыми в организации политикой и процедурами.Мониторинг изменений конфигурации. Необходимо отслеживать изменения в информационной системе и анализировать их воздействие на безопасность, чтобы определить эффект изменений.Ограничение доступа для изменений. Организация проводит в жизнь физические и логические ограничения доступа, связанного с изменениями в информационной системе, и генерирует, сохраняет и пересматривает записи, отражающие все подобные изменения.Минимизация функциональности. Следует конфигурировать информационную систему так, чтобы обеспечить только необходимые возможности и явным образом запретить и/или ограничить использование определенных функций, портов, протоколов и/или сервисов.сопровождениеПериодическое сопровождение. Поддерживается регистрационный журнал сопровождения информационной системы, в котором фиксируются:- дата и время обслуживания;- фамилия и имя лица, производившего обслуживание;- фамилия и имя сопровождающего, если это необходимо;- описание произведенных действий по обслуживанию ИС;- список удаленного или перемещенного оборудования (с идентификационными номерами).Средства сопровождения. Организация санкционирует, контролирует и отслеживает применение средств сопровождения информационной системы и постоянно поддерживает эти средства.Своевременное обслуживание. Организация получает обслуживание и запчасти для заданных ключевых компонентов информационной системы в течение заданного промежутка времени.целостность систем и данныхЗащита от вредоносного программного обеспечения. Централизованное управление механизмами защиты от вредоносного программного обеспечения. Средства и методы мониторинга информационной системы. Применение средств и методов мониторинга событий в информационной системе, выявление атак и идентификация несанкционированного использования ИС.Защита от спама. В информационной системе реализуется защита от спама.Ограничения на ввод данных. Организация предоставляет право на ввод данных в информационную систему только авторизованным лицам.Точность, полнота, достоверность и аутентичность данных. Информационная система проверяет данные на точность, полноту, достоверность и аутентичность.Обработка ошибок. Информационная система явным образом выявляет и обрабатывает ошибочные ситуации.Обработка и сохранение выходных данных. Выходные данные информационной системы обрабатываются и сохраняются в соответствии с принятыми в организации политикой и эксплуатационными требованиями.защита носителейМетки носителей. Съемные носители данных и выходные данные ИС снабжаются внешними метками, содержащими ограничения на распространение и обработку этих данных; заданные типы носителей или аппаратных компонентов освобождаются от меток, поскольку остаются в пределах контролируемой зоны.Хранение носителей. Следует организовать физический контроль и безопасное хранение носителей данных, бумажных и цифровых, основываясь на максимальной категории, присвоенной данным, записанным на носителе.Транспортировка носителей. Контроль носителей данных, бумажных и цифровых, и поручение отправки, получения, транспортировки и доставки носителей авторизованным лицам.реагирование на нарушения информационной безопасностиОбучение. Компания обучает сотрудников их ролям и обязанностям, связанным с реагированием на нарушения информационной безопасности ИС, и с заданной частотой, но не реже, чем раз в год, проводит тренировки для поддержания практических навыков.Тестирование. С заданной частотой, но не реже, чем раз в год, тестируются средства реагирования на нарушения информационной безопасности ИС, при этом используются заданные тесты и тренировочные процедуры, чтобы определить эффективность реагирования. Результаты документируются. Реагирование. Для поддержки процесса реагирования на нарушения информационной безопасности применяются автоматические механизмы.Мониторинг. Необходимо постоянно прослеживать и документировать нарушения информационной безопасности ИС.Доклады о нарушениях. Применение автоматических механизмов в формировании докладов о нарушениях информационной безопасности.идентификация и аутентификацияИдентификация и аутентификация устройств. Информационная система идентифицирует и аутентифицирует определенные устройства, прежде чем установить с ними соединение.управление доступомУправление учетными записями. Применение автоматических механизмов для поддержки управления учетными записями в информационной системе. Информационная система автоматически терминирует временные и аварийные учетные записи по истечении заданного для каждого типа записей промежутка времени; информационная система автоматически отключает неактивные учетные записи по истечении заданного промежутка времени.Проведение в жизнь. Информационная система обеспечивает, чтобы доступ к функциям безопасности (реализованным аппаратно и/или программно) и к защитным данным предоставлялся только авторизованным лицам (например, администраторам безопасности).Управление информационными потоками. Информационная система проводит в жизнь присвоенные привилегии для управления информационными потоками в системе и между взаимосвязанными системами в соответствии с принятой политикой безопасности.Разделение обязанностей. Разделение обязанностей реализуется посредством присвоения привилегий доступа.Минимизация привилегий. Информационная система использует наиболее ограничительный набор прав/привилегий доступа, необходимых пользователям (или процессам, действующим от имени этих пользователей) для выполнения их задач.Блокирование сеансов. Информационная система предотвращает дальнейший доступ к ИС до тех пор, пока пользователь не восстановит доступ, применяя соответствующие процедуры идентификации и аутентификации.Терминирование сеансов. Информационная система автоматически терминирует сеанс по истечении заданного периода неактивности.Действия, разрешенные без идентификации и аутентификации. Организация разрешает выполнение действий без идентификации и аутентификации, только если они необходимы для достижения ключевых целей организации.Удаленный доступ. Применение автоматических механизмов для облегчения мониторинга и контроля методов удаленного доступа, а также шифрования для защиты конфиденциальности сеансов удаленного доступа. Необходимо контролировать весь удаленный доступ в управляемой точке контроля доступа. Ограничения на беспроводной доступ. Необходимо применение аутентификации и шифрования для защиты беспроводного доступа к информационной системе. Мобильные устройства. Организация:- устанавливает ограничения на применение и разрабатывает руководства по использованию мобильных устройств;- документирует, отслеживает и контролирует доступ посредством подобных устройств к ИС;- соответствующие должностные лица санкционируют использование мобильных устройств;- применяются съемные жесткие диски или криптография для защиты данных, располагающихся в мобильных устройствах.протоколирование и аудитСодержимое регистрационных записей. Информационная система обеспечивает возможность включения в регистрационные записи дополнительной, более детальной информации для протоколируемых событий, идентифицируемых по типу, месту или субъекту.Мониторинг, анализ и отчет о регистрационной информации. Необходимо регулярно изучать/анализировать регистрационную информацию с целью выявления ненадлежащей или нетипичной активности, расследовать случаи подозрительной активности или предполагаемых нарушений, докладывать о результатах соответствующим должностным лицам и предпринимать необходимые действия.Редукция регистрационной информации и генерация отчетов. Информационная система предоставляет возможности редукции регистрационной информации и генерации отчетов.Метки времени. Информационная система предоставляет метки времени для использования при генерации регистрационных записей.защита систем и коммуникацийРазделение приложений. Информационная система разделяет пользовательскую функциональность (включая сервисы пользовательского интерфейса) от функциональности управления ИС.Остаточная информация. Информационная система должна предотвращать несанкционированную и ненамеренную передачу информации через разделяемые системные ресурсы.Защита границ. Целесообразно физически размещать общедоступные компоненты информационной системы (например, общедоступные веб-серверы) в отдельных подсетях с отдельными физическими сетевыми интерфейсами, предотвратить публичный доступ во внутреннюю сеть (за исключением должным образом контролируемого доступа).Целостность передаваемых данных. Информационная система должна защищать целостность передаваемых данных.Конфиденциальность передаваемых данных. Должна быть предусмотрена защита конфиденциальности передаваемых данных.Разрыв сетевых соединений. Информационная система терминирует сетевое соединение в конце сеан
содержание информация редакция
категорирование информации и информационных систем. обеспечение базового уровня информационной безопасности
Комментариев нет:
Отправить комментарий