Система обеспечения информационной безопасности в государственном учреждении

5.4.3. Безопасное уничтожение  отработавшего оборудования и  носителей информации 

Оборудование, подлежащее выводу из эксплуатации, и использованные носители информации могут содержать  остаточную информацию ограниченного  доступа. Регламентация порядка  и процедур вывода их из действия и  уничтожения позволяет перекрыть  каналы несанкционированного доступа  к этой информации:

-  устройства хранения информации, содержащие ценную информацию, при выведении из эксплуатации должны быть физически уничтожены, либо должно быть проведено гарантированное стирание с них остаточной информации. Однако необходимо учесть, что магнитные носители информации, применявшиеся для хранения особо ценной информации, необходимо уничтожать физически, так как возможно восстановление данных даже с затертых специальными программными средствами носителей с использованием специального оборудования;

-  все оборудование, включая носители информации, перед передачей другому владельцу или списанием должно быть проверено на отсутствие важной информации или лицензионного программного обес-печения;

-  дальнейшая судьба поврежденных устройств хранения, содержащих важную информацию, (уничтожение или ремонт) определяется на основе заключения экспертной комиссии. 

5.4.4. Безопасность  рабочего места 

Рабочие места сотрудников  центра наиболее многочисленная категория  объектов системы, через которые  возможен несанкционированный доступ к информации. Действия сотрудников  центра сложно контролировать, поэтому  в системе защиты информации должны быть предусмотренные автоматизированные механизмы контроля доступа к  терминалам, мониторинга за действиями пользователей и сигнализации при  обнаружении попыток несанкционированного доступа, а также установлен жесткий  регламент доступа к автоматизированной системе с помощью организационных  мер. Рекомендуется обратить особое внимание на следующие аспекты безопасности рабочих мест сотрудников центра:

-  документы на всех видах носителей и вычислительная техника, в случае если ими не пользуются, а также в нерабочее время, должны храниться в запираемом помещении. Ключи от всех помещений сдаются дежурной службе, в опечатанном виде, под роспись;

-  ценная информация, когда она не используется, должна храниться в защищенном месте (огнеупорный сейф, выделенное помещение) или в зашифрованном виде на магнитных носителях информации;

-  персональные компьютеры, терминалы и принтеры не должны оставаться без присмотра во время обработки информации и должны защищаться блокираторами клавиатуры, паролями или другими методами на время отсутствия пользователя;

-  должны быть приняты надежные меры, исключающие несанкционированное использование копировальной техники в нерабочее время;

-  распечатки, содержащие информацию ограниченного доступа должны изыматься из печатающего устройства немедленно, а программа разграничения доступа должна поддерживать режим автоматической маркировки документов выводимых на бумажный носитель и регистрации выходных данных размножаемых документов в специальном журнале. Рекомендуется устанавливать печатающие устройства для печати конфиденциальных документов в отдельных, специально оборудованных, помещениях, где работают сотрудники, ответственные за их учет, хранение и выдачу исполнителям. Размножение таких документов должно производиться только с письменного разрешения начальника штаба центра.

5.5. Инструкции по  информационной безопасности 

Наличие инструкций, регламентирующих вопросы управления безопасностью информационных процессов  и определяющих порядок действий в нештатных ситуациях, является обязательным условием создания эффективной  системы защиты. Сотрудники центра должны знать порядок действий в случае нарушения безопасности или возникновения нештатной ситуации. Действия, предусмотренные инструкциями, должны быть смоделированы и протестированы на практике.

Инструкции по информационной безопасности должны включать в себя обязательно:

-  порядок обработки и обращения с информацией;

-  регламент взаимодействия с другими информационными системами;

-  порядок действий при нарушении безопасности и возникновении нештат-ных ситуаций;

-  список ответственных должностных лиц и способы связи с ними в нештатных ситуациях;

-  специальные инструкции по обращению с результатами обработки информации, в том числе конфиденциальными и ошибочно обработанными;

-  порядок перезагрузки и восстановления системы в случае сбоя.

Наиболее критичные  аспекты управления безопасностью, которые рекомендуется обязательно  отражать в инструкциях по безопасности:

-  контроль изменений среды функционирования;

-  процедуры реагирования на инциденты безопасности;

-  разграничение ответственности;

-  разделение ресурсов.

Перечень организационных  документов по обеспечению безопасности информации на объекте вычислительной техники указан в Приложении № 2.

5.5.1. Контроль изменений  среды функционирования 

Среда функционирования - это совокупность средств вычислительной техники и программных процессов, выполняющих управление системой и  решение прикладных задач. Операционная система является центральным элементом  среды функционирования. Необходимо регламентировать процесс внесения изменений в среду функционирования и порядок контроля вносимых изменений  для наиболее критичных элементов, таких как операционная система.

Контроль изменений  среды функционирования должен включать следующие аспекты:

-  идентификацию и регистрацию изменений среды функционирования;

-  оценку потенциальных последствий изменений;

-  регламентацию процедуры внесения изменений;

-  порядок взаимодействия заинтересованных должностных лиц при внесении изменений;

-  процедуры определения ответственности и возврата в исходное состоя-ние при неудачных попытках изменений.

При внесении изменений  необходимо выделить, идентифицировать и оценить предполагаемые изменения, провести предварительную оценку потенциального воздействия таких изменений  на рабочую информационную среду  центра, с точки зрения непрерывности  производственных процессов.

После внесения изменений  необходимо наладить взаимодействие между  всеми должностными лицами, вовлеченными в процесс, для контроля корректности вносимых изменений. Необходимо предусмотреть  процедуры отмены и восстановления системы при неудачных изменениях.

Внесение изменений  разрешается администраторами подразделений, назначенными приказом начальника центра. 
 

5.5.2. Процедуры реагирования  на инциденты безопасности 

В центре должна быть методика расследования инцидентов безопасности и выявления причин их возникновения, проведения анализа  и сохранения фактов наличия инцидента, определения порядка взаимодействия между должностными лицами, участвующими в инциденте и помощником начальника штаба по ОБИ. Должны быть разработаны  инструкции по действиям персонала  в нештатных ситуациях.

Предварительная разработка методики расследования инцидентов, ее тестирование и обучение сотрудников  центра действиям в условиях нештатных  ситуаций и инцидентов позволит повысить уровень информационной безопасности и обеспечить работоспособность  информационной системы.

Регламент действий персонала должен предусматривать  процедуры реагирования на инциденты  безопасности в различных ситуациях, включая:

-  сбои в информационных системах;

-  отказ в обслуживании;

-  ошибки из-за неполных или неправильных входных данных;

-  утечку информации.

План восстановления работоспособности системы должен включать процедуры:

-  анализа и определения причин инцидента;

-  планирования и внедрения мер для предотвращения повтора инцидента;

-  анализа и сохранения сведений об инциденте, которые можно предста-вить в качестве доказательства при уголовном, гражданском или административном преследовании нарушителей безопасности;

-  взаимодействия между участниками инцидента и службой безопасности при реализации процесса восстановления системы;

-  информирования ответственных лиц.

Сведения об инцидентах необходимо зарегистрировать и внести в защищенную базу данных с целью  их использования:

-  при последующем анализе внутренних проблем;

-  для привлечения виновных к дисциплинарной, административной или уголовной ответственности;

-  при ведении переговоров о компенсациях с поставщиками аппаратного и программного обеспечения.

Действия по восстановлению системы после инцидента должны быть формально запротоколированы. Процедура регистрации должна гарантировать, что:

-  доступ к восстановленной системе и ресурсам имеет только персонал, прошедший процедуры идентификации и аутентификации;

-  действия по выходу из нештатной ситуации зафиксированы в виде доку-мента для последующего использования;

-  руководство проинформировано об инциденте и действиях по восстанов-лению системы;

-  работоспособность системы и целостность ресурсов восстановлена. 

5.5.3. Разграничение  ответственности 

Разграничение зон  ответственности снижает вероятность  случайного или преднамеренного  несанкционированного использования  служебных полномочий должностными лицами, например, несанкционированной  модификации информации, использования  информации в личных целях, использование  ресурсов системы не по назначению и т.п.

Система разграничения  ответственности должна предусматривать  воз-можность выполнения критических для безопасности информационной систе-мы операций, только с участием нескольких должностных лиц. Идеальный вариант построения системы разграничения ответственности, когда все системные действия осуществляются двумя или более сотрудниками.  

5.5.4. Разделение ресурсов 

Стратегия разграничения  доступа в системе должна предусматривать  создание зон доступа для определенных категорий ресурсов. Критериями разделения ресурсов на категории и разнесения их по зонам доступа могут являться уровни конфиденциальности, отношение к определенной функциональной задаче, принадлежность подразделению центра и другие.

Рекомендуется программные  ресурсы системы разделять по целям ис-пользования:

-  среда разработки программного обеспечения;

-  тестируемое программное обеспечение;

-  операционная среда (функциональная среда).

Правила внедрения  нового программного обеспечения в  операционную среду должны быть регламентированы:

-  операционная среда и среда разработки должны, по возможности, располагаться на разных компьютерах, в разных доменах или дирек-ториях;

-  среда разработки и тестируемое программное обеспечение должны быть изолированы друг от друга;

-  средства разработки, системные редакторы и другие системные утилиты не должны быть доступны в зоне тестирования и операционной среде;

-  с целью снижения вероятности возникновения ошибок, для входа в тесто-вую и рабочую системы должны использоваться разные идентификато-ры и пароли, а все меню должны иметь соответствующую маркировку;

-  разработчики должны иметь доступ к операционной среде только для оперативного сопровождения этих систем, с получением временного доступа

5.6. Организация управления  доступом к информации 

Управление доступом реализует принятую в центре стратегию  разграничения доступа к информации и является основой политики информационной безопасности.

Основными аспектами  управления доступом должны являться:

-  политика управления доступом;

-  управление доступом пользователей;

-  обязанности пользователей при использовании защитных механизмов;

-  управление удаленным (сетевым) доступом;