Политика (1197924), страница 5

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 5)

9.6 Управление ключами

Для поддержки использования Учреждением криптографических методов необходимо применять управление ключами.

Все криптографические ключи следует защищать от модификации, потери и разрушения. Кроме того, секретным и персональным ключам необходима защита от несанкционированного раскрытия. Оборудование, которое используется для генерации, хранения и архивирования ключей, должно быть физически защищено.

Чтобы уменьшить вероятность компрометации ключей необходимо определить даты активации и деактивации. Данный период времени зависит от обстоятельств, при которых используются криптографические меры и средства контроля и управления, и от осознаваемого риска.

В дополнение к вопросу безопасности управления секретных и персональных ключей необходимо также учесть вопросы аутентичности открытых ключей. Процесс аутентификации может осуществляться при использовании сертификатов открытых ключей, которые обычно выдаются органом сертификации, представляющим собой официально признанную организацию, применяющую соответствующие меры и средства контроля и управления и процедуры для обеспечения требуемой степени доверия.

Необходимо, чтобы соглашение об уровне обслуживания или договоры с внешними поставщиками услуг, связанных с криптографией, например с органом – держателем справочников сертификатов, включали положения относительно ответственности, надежности услуг и времени реагирования на запросы по их предоставлению.

10 Инциденты информационной безопасности

10.1 Оповещение о событиях и уязвимостях информационной безопасности

Каждый сотрудник должен быть осведомлен о необходимости незамедлительно сообщать о любых событиях информационной безопасности. Помимо этого сотрудники должны четко представлять себе процедуру информирования. Процедуры информирования должны включать:

• процессы обратной связи. Это значит, что сотрудник, который сообщил о событиях информационной безопасности, после решения данной проблемы, должен быть уведомлен о результатах;

• правила поведения сотрудника в случае, если произойдет событие информационной безопасности, а именно: ему необходимо обращать внимание на все важные детали. Необходимо немедленно сообщить в «точку контакта». Запрещено предпринимать самостоятельные действия;

• ссылку на установленные формальные дисциплинарные процессы относительно сотрудников, подрядчиков и пользователей третьей стороны, которые нарушают правила безопасности;

• формы сообщений о событиях информационной безопасности, которые должны напомнить лицу о действиях, которые необходимо совершить.

10.2 Оповещение об уязвимостях безопасности

Все сотрудники, имеющие дело с информационными системами, обязаны обращать внимание и сообщать о любых замеченных или предполагаемых уязвимостях в области безопасности в отношении систем.

10.3 Управление инцидентами информационной безопасности и необходимое совершенствование

Для обеспечения быстрого, эффективного и должного реагирования на инциденты информационной безопасности необходимо заранее устанавливать обязанности должностных лиц по осуществлению управления и процедуры реагирования.

Необходимо обеспечить уверенность в том, что лица, ответственные за осуществление менеджмента инцидентов информационной безопасности, понимают приоритеты Учреждения по обработке таких инцидентов.

Помимо информирования о событиях и недостатках информационной безопасности, необходимо также использовать мониторинг систем, сигналов тревоги и уязвимостей для обнаружения инцидентов информационной безопасности. В отношении процедур управления инцидентами информационной безопасности необходимо учитывать следующие рекомендации:

• следует установить процедуры обработки различных типов инцидентов информационной безопасности, включая: вредоносные программы, сбои информационных систем и потерю обслуживания, отказ в обслуживании, ошибки, являющиеся следствием неточности или неполноты данных, нарушения целостности и конфиденциальности, неправильное использование информационных систем;

• в дополнение к обычным планам обеспечения непрерывности работы, необходимо провести анализ и выявить причины инцидента, ограничить распространение последствий, спланировать и реализовать корректирующие действия, чтобы предотвратить повторение. Так же необходимо взаимодействовать с лицами, которые испытали влияние инцидента или участвовали в восстановлении после инцидента, и наконец, сообщить о предпринятых действиях соответствующий орган;

• контрольные записи и другие доказательства необходимо собирать и защищать. Они могут оказать помощь в анализе внутренних проблем, или быть использованы в качестве судебных доказательств. Так же они могут сыграть роль в обсуждении условий выплаты компенсации поставщиками программного обеспечения и услуг;

• следует тщательно контролировать действия по восстановлению после проявления недостатков безопасности и действия по устранению сбоев систем.

Характеристики

Список файлов ВКР