Пояснительная записка Пешкова Н.А. 24Б (1209002), страница 3

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 3)

Требования по организации охраны помещения:

• в помещениях, в которых размещается имущество Учреждения, должна иметься возможность организации круглосуточной охраны;

• в помещениях, расположенных в зданиях, в которых возможно использование услуг служб централизованной охраны здания, охрана должна осуществляться силами таких служб;

• в помещениях, расположенных в зданиях без служб централизованной охраны, охрана должна осуществляться за счет привлечения специализированных организаций, предоставляющих услуги по круглосуточной охране. Допускается в рабочее время использование услуг служб охраны в режиме «вызов по необходимости», в нерабочее время помещения должны сдаваться под охрану с применением средств охранной сигнализации или с физическим наблюдением за помещениями.

2.2.1.2 Контроль доступа

Требования по организации контроля доступа персонала на рабочие места

• все помещения Учреждения должны быть оборудованы дверьми, закрываемыми на замок;

• должен быть предусмотрен механизм установления личности осуществляющей санкционированное вскрытие помещений Учреждения (например, проверка удостоверения личности, применение систем контроля и управления доступом, роспись за получения ключа от помещений на посту охраны );

• отдельные группы помещений, нахождение в которых посторонних лиц не требуется (например, архивные помещения), могут отделяться дополнительными дверьми, иными средствами ограничения доступа или физически располагаться удаленно (например, на других этажах или частях здания и);

• доступ в помещения Учреждения и его филиалов, где хранятся и обрабатываются персональные данные, осуществляется в соответствии Перечнем должностей работников ОГБУ «МФЦ», замещение которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным, который утверждается приказом Руководителя ОГБУ «МФЦ»;

• работники Учреждения не должны оставлять свои рабочие кабинеты без наблюдения. В случае, если помещение остается без наблюдения, помещение должно быть закрыто на замок;

• работники Учреждения не должны пытаться проникнуть в помещения, доступ к которым ограничен, не имея на это соответствующих прав.

2.2.1.3 Контроль нахождения посторонних лиц в помещениях Учреждения

Требования по организации контроля за посетителями и работниками сторонних организаций:

• нахождение посетителей или представителей сторонних организаций в помещениях Учреждения, должно контролироваться сопровождающими лицами из числа работников Учреждения, допущенных в данные помещения в соответствии с Перечнем должностей работников МФЦ или охранником;

• работники сторонних организаций должны вызываться в установленном порядке. При приходе таких работников без предварительной заявки их допуск в помещения Учреждения должен осуществляться только по согласованию с ответственным лицом структурного подразделения Учреждения, в ведении которого предполагаются проводимые работы;

• работники сторонних организаций должны находиться на территории Учреждения в сопровождении уполномоченных работников Учреждения.

2.2.2 Эксплуатация электронных устройств

Требования по порядку эксплуатации электронных устройств в Учреждении:

• размещение экранов АРМ, обрабатывающих информацию ограниченного доступа, должно исключать возможность их просмотра лицами, не допущенными к данной информации;

• при использовании систем видеонаблюдения, такие системы должны быть установлены в местах, исключающих просмотр содержимого экранов АРМ, обрабатывающих информацию ограниченного доступа, а также исключающих просмотр вводимых паролей, кодов;

• системные блоки АРМ, периферийное оборудование должно быть опечатано или оборудовано иным способом ограничения их несанкционированного вскрытия.

2.2.2.1 Ограничения при эксплуатации

Требования по запрету эксплуатации посторонних электронных устройств:

• работникам Учреждения запрещено подключать или устанавливать собственные компьютеры, периферийные устройства, за исключением съемных носителей информации, комплектующие к АРМ и КС Учреждения без согласования с администратором безопасности Учреждения или лицом его заменяющим.

2.2.2.2 Профилактическое обслуживание и иные правила эксплуатации

Требования к профилактическому обслуживанию и иным правилам эксплуатации:

• все электронные устройства должны проходить профилактическое обслуживание. Такое обслуживание должно проводиться регулярно, но не реже сроков, указанных в технической документации на устройства или нормативных актах Учреждения. Профилактическое обслуживание должно производиться силами квалифицированных работников Учреждения, если иное не определено производителем оборудования;

• все АРМ, предназначенные для выполнения работниками своих должностных обязанностей, рекомендуется оборудовать источниками бесперебойного питания;

• сетевые, питающие и иные кабеля должны быть проложены с соблюдением стандартов и должно быть исключено повреждение таких кабелей при повседневной работе, а также минимизировать вероятность получения травмы работниками Учреждения, вызванных нарушениями укладки таких кабелей;

2.2.2.3 Прекращение эксплуатации

Необходимые действия при прекращении эксплуатации технических средств:

• перед передачей (в том числе для ремонта) сторонним организациям, списанием или прекращением использования оборудования, участвовавшего в обработке информации ограниченного доступа, должна быть проведена проверка, с целью исключения попадания такой информации третьим лицам;

• оборудование и носители информации, взятые из помещений организации, не следует оставлять без присмотра в общедоступных местах; во время поездок портативные компьютеры нужно перевозить как ручную кладь и по возможности маскировать.

2.2.3 Обеспечение управления доступом

Порядок обеспечения управления доступом:

• работникам Учреждения запрещено осуществление противоправных действий, включая деятельность по получению несанкционированного доступа к любой ИС; нанесение ущерба и нарушение работы ИС; перехват паролей или иной способ получения паролей, ключевой информации или иных механизмов доступа, которые могут быть использованы для несанкционированного доступа;

• программное обеспечение, предполагающее использование механизмов разделения доступа или подразумевающее индивидуальную ответственность работника за осуществляемые действия, должно использовать механизм контроля доступа, с идентификацией и авторизацией пользователя с помощью, как минимум пароля, отвечающего требованиям политики парольной защиты;

• настройка доступа ко всем информационным ресурсам Учреждения должна быть по умолчанию направлена на предотвращение к ним любого несанкционированного доступа;

• если система контроля доступа АРМ, КС или АС вышла из строя, то по умолчанию доступ пользователей должен быть запрещен;

• предоставление пользователям письменного заявления об их правах доступа;

• требование от пользователей подписать заявление об их правах доступа;

• обеспечение уверенности в том, что поставщики услуг не предоставляют доступ, пока процедуры авторизации не завершены;

• доступ к информационным ресурсам Учреждения должен осуществляться согласно разработанной и утвержденной руководителем «Матрицы доступа», составленной на основании должностных обязанностей работников Учреждения и отчета о проведенной внутренней проверки;

• любое изменение в правах доступа к информационным ресурсам Учреждения должно быть обосновано выполнением должностных обязанностей, утверждено и направлено администратору информационной безопасности;

• при увольнении работников Учреждения или изменении их должностных обязанностей, лица, уполномоченные на предоставление прав доступа, должны быть письменно проинформированы в трехдневный срок, после чего внести соответствующие изменения в систему контроля доступа и «Матрицу доступа»;

• немедленная отмена или блокирование прав доступа пользователей, у которых изменились роль или рабочее место, или уволившихся из организации [4], [5].

2.2.3.1 Идентификатор учетной записи

Требования по организации идентификатора учетной записи:

• для установления персональной ответственности идентификатор учетной записи пользователя в любой информационной системе должен однозначно соответствовать отдельному работнику;

• периодическая проверка и удаление или блокирование избыточных пользовательских идентификаторов и учетных записей;

• для доступа к АРМ и КС Учреждения у каждого пользователя должны быть уникальный набор из идентификатора учетной записи и пароля. Запрещено создание идентификатора учетной записи, используемого группой лиц;

• использование идентификатора учетной записи пользователя после увольнения или прекращения использования информационных ресурсов Учреждения запрещено;

• при предоставлении идентификатора учетной записи сторонним организациям необходимо заключение соглашений, подтверждающих обязательства сторонних организаций соблюдать требования НПА РФ и организационно-распорядительных документов Учреждения, подписанные уполномоченными лицами;

• при прекращении необходимости использования сторонними компаниями идентификатора учетной записи, лица, уполномоченные на предоставление прав доступа, должны быть письменно проинформированы в однодневный срок, после чего должны быть внесены соответствующие изменения в систему контроля доступа и «Матрицу доступа»;

• для всех лиц, не являющихся служащими Учреждения, но для выполнения обязательств которых, необходимо предоставление доступа к АРМ и КС Учреждения, должен быть сформирован идентификатор учетной записи, действующий только на период выполнения лицом своих обязательств. В случае, если срок выполнения обязательств не определен, то срок действия идентификатора учетной записи должен составлять 60 дней;

• пользователям запрещено использование идентификаторов учетных записей и паролей, используемых для получения доступа к информационным ресурсам Учреждения, для идентификации и аутентификации на публичных ресурсах сетей общего пользования. [4], [5], [7].

2.2.3.2 Учетные записи специальных типов

Требования к учетным записям специальных типов:

• все ИС и технические средства, используемые в них, должны поддерживать специальный тип учетной записи, позволяющий производить любые поддерживаемые настройки и изменения, включая изменения в системе обеспечения безопасности;

• количество таких типов учетных записей должно быть максимально ограничено и предоставлено только тем пользователям, которым это необходимо для осуществления должностных обязанностей с учетом соблюдения требований НПА РФ и организационно-распорядительных документов Учреждения;

• таким лицам должны быть предоставлены как минимум два типа учетных записей, одна – специальный тип учетной записи, другая – ограниченный тип учетной записи для повседневной работы, не требующей изменения настроек ИС;

• удаленное администрирование любых технических устройств в КС Учреждения, при котором осуществляется передача информации через сети общего пользования, запрещено.

2.2.3.3 Настройка системы управления доступом

Требования по организации настройки системы управления доступом:

• АРМ должны переводиться в режим запроса пароля после определенного периода бездействия или при отсутствии возможности контроля пользователем доступа к АРМ;

• при наличии технической возможности, средства контроля доступа должны быть настроены на временную блокировку доступа к ним, после трехкратной попытки получения доступа, и уведомления уполномоченных лиц о таковых фактах;

• при наличии технической возможности удаленные подключения к АС должны автоматически отключаться после определенного времени неактивности такого подключения;

• пользователям запрещено собирать и копировать информацию с информационных ресурсов, если это не обусловлено выполнением должностных обязанностей. При наличии технической возможности используемые системы контроля доступа должны предупреждать возможность таких действий и информировать о таких попытках.

2.2.3.4 Использование системы управления доступом

Требования к использованию системы управления доступом:

• программисты и другой технический персонал не должны устанавливать и использовать программное обеспечение, направленное на обход установленных механизмов доступа или получение сведений для несанкционированного доступа. Если использование такого программного обеспечения необходимо для выполнения должностных обязанностей, то его использование должно осуществляться только уполномоченными лицами.

2.2.4 Правила обеспечения сетевой безопасности

Требования к обеспечению сетевой безопасности:

• конфигурация и настройка всех устройств подключенных к КС Учреждения должны соответствовать требованиям НПА РФ и организационно-распорядительным документам Учреждения;

• размещение в КС Учреждения информации ограниченного доступа должно соответствовать требованиям НПА РФ и организационно-распорядительным документам Учреждения;

• используемые внешние интерфейсы и протоколы КС Учреждения должны быть максимально ограничены необходимыми для обеспечения выполнения Учреждением своих задач и функций;

• технические средства, обеспечивающие работу КС, должны размещаться с соблюдением требований по контролю физического доступа к ним и организации их сохранности. Доступ в помещения лиц, не уполномоченных для работы с данным оборудованием, должен быть исключен или осуществляться в сопровождении уполномоченных работников Учреждения;

• для управления техническими устройствами в сети по возможности должны быть использован протоколы поддерживающие криптографическую защиту информации.

2.2.5 Построение КС Учреждения

Требования к построению КС Учреждения:

• построение и управление КС должно исключать наличие «узких мест», нарушение работы которых приведет к нарушению работы всей КС;

• все КС Учреждения должны быть настроены для недопущения несанкционированного подключения к ним и обнаружения попыток таких подключений;

• подключение к КС Учреждения разрешено только после выполнения требований политик безопасности и критериев, определенных Учреждением;

• доступ к информации о системе внутренней адресации в КС, конфигурации и иной подобной информации должен быть обусловлен только выполнением должностных обязанностей. В отдельных случаях, подобная информация может предоставляться третьим лицам, для проведения работ в рамках договорных обязательств. При этом между сторонами должно быть заключено соглашение о конфиденциальности;

• использование любого типа подключений (DSL-модем, dial-up модем, модемы, использующие сети операторов мобильной связи и т.п.) технических средств, размещенных в КС Учреждения, к внешним информационным ресурсам, запрещено без согласования с уполномоченными лицами. Такие подключения должны соответствовать требованиям НПА РФ и организационно-распорядительным документам Учреждения.

2.2.5.1 Обеспечение безопасности маршрутизаторов

Требования к обеспечению безопасности маршрутизаторов:

• настройка маршрутизаторов должна осуществляться в соответствии с рекомендациями производителя, обеспечивающими максимальный уровень безопасности;

• доступ к настройкам маршрутизатора должен быть ограничен паролем, отвечающим требования политики парольной защиты Учреждения;

• добавление прав правил маршрутизации должно осуществляться на основании политик безопасности Учреждения и позволять решать задачи и функции, возложенные на Учреждение. Правила маршрутизации должны быть утверждены руководителем Учреждения и находиться у лица, уполномоченного на администрирование маршрутизаторов;

• пользователям запрещен просмотр информационных ресурсов Учреждения, содержащихся на АРМ других пользователей или в КС Учреждения, если это не обусловлено выполнением должностных обязанностей.

2.2.6 Использование программного обеспечения

Требования к использованию программного обеспечения:

• программное обеспечение, используемое для осуществления деятельности структурных подразделений Учреждения, должно соответствовать условиям его лицензирования (независимо от того, является ли оно коммерческим или свободно распространяемым) и использоваться строго в соответствии с лицензионным соглашением. Любое структурное подразделение Учреждения должно исключить случаи хранения и/или использования программного обеспечения, не являющегося лицензионным;

• в случае если в НПА РФ предъявляются особые требования к программному обеспечению (например, требование по сертификации такого программного обеспечения уполномоченными организациям и т.п.) структурное подразделение Учреждения обязано обеспечить выполнение подобных требований;

• на каждое АРМ должен быть установлен комплект программного обеспечения, необходимый и достаточный для выполнения на нем поставленных задач;

• учреждение предоставляет работникам достаточное количество лицензий на использование программного обеспечения, необходимого для выполнения должностных обязанностей;

• на технические средства, подключаемые к КС Учреждения и подразумевающие возможность установки программного обеспечения, должно быть установлено базовое программное обеспечение, предусмотренное «Перечнем программного обеспечения предусмотренного к установке на технических средствах, подключаемых к корпоративной сети Учреждения»;

• обновление версий программного обеспечения, использующего ресурсы КС, должно осуществляться только администраторами АС или уполномоченным лицом. Допустимо использование функции автоматического обновления программного обеспечения, использующего ресурсы КС Учреждения;

• пользователям запрещено выполнение команд уровня операционной системы или предпринимать попытки их выполнения. Действия пользователя должны быть ограничены взаимодействием с элементами экранных форм программного обеспечения, необходимым для выполнения должностных обязанностей;

• при увольнении или изменении должностных обязанностей пользователя, файлы, содержащиеся на его АРМ, должны быть проверены его непосредственным руководителем и, в случае необходимости, переданы другим исполнителям.

2.2.7 Парольная защита

Требования к организации парольной защиты [7]:

• доступ к программному обеспечению, используемому пользователями и администраторами в рамках должностных обязанностей и подразумевающему наличие идентификации и аутентификации пользователя и/или разграничение полномочий без использования пароля запрещено;

• работникам необходимо обязать подписать заявление о сохранении личных паролей в тайне и сохранении групповых паролей исключительно в пределах членов данной группы;

• пароли доступа к различному прикладному программному обеспечению, используемому пользователями и администраторами в рамках должностных обязанностей должны отличаться от паролей доступа к автоматизированному рабочему месту или элементам сетевой инфраструктуры и не должны совпадать для различного программного обеспечения;

• в качестве паролей допускается использование только устойчивых паролей, т.е. сгенерированных случайным образом и представляющих собой комбинацию их цифр и латинских букв.

2.2.7.1 Порядок создания пароля

Характеристики

Список файлов ВКР