Практическое занятие № 1 Политика «Требования по обеспечению
информационной безопасности»
Цель занятия: рассмотрение основных и наиболее важных моментов при разработке политики «Требования по обеспечению информационной безопасности» для выбранной КИС.
Задачи: формализовать требования по обеспечению безопасности ресурсов КИС в соответствии с действующим законодательством [1, 9].
Ход работы
Преступим к разработке политики безопасности «Требования по обеспечению информационной безопасности (ИБ)» для выбранной КИС. Выделим следующие разделы для будущего документа:
1.Общие положения;
2.Рабочее место пользователя;
3.Парольная политика;
4.Работа с электронной почтой;
5.Работа в сети Интернет;
6.Действия в нестандартных ситуациях;
7.Ответственность.
Ниже подробно рассмотрим содержание перечисленных разделов с представленными в скобках примерами. Отметим сразу, что результаты по ходу работы будем заносить в форму 1 (прил. 1).
Рабочее место пользователя
Начнем разработку нашей политики с данного раздела,
вкотом отметим следующие моменты:
–Правила предоставления сотруднику рабочего места и ограничение прав на его эксплуатацию (Для выполнения своих должностных обязанностей сотруднику компании
4
выделяется персональный компьютер (ПК) с предустановленным программным обеспечением (ПО) и доступом к локально-вычислительной сети (ЛВС) компании. ПК предоставляется сотруднику во временное пользование на период работы в организации и должен использоваться им для служебных целей. Установку, настройку, а также подключение к ЛВС выполняют только сотрудники, уполномоченные на перечисленные операции);
–Исходя из важности обеспечения сохранности информации, введем правило создания резервной копии
(Сотрудник должен периодически (как часто?) создавать резервные копии, сохраняя важную информацию в выделенной папке файлового сервера компании; резервная копия информации создается автоматически (как часто и какие действия необходимы со стороны сотрудника для исключения ошибок));
–Исключения доступа к рабочему месту сотрудника посторонних лиц (Оставляя рабочее место, даже на короткое время, пользователь обязан заблокировать доступ
кработающему ПК (можно использовать средства операционной системы или, в случае наличия, средствами защиты информации, которыми оснащен ПК));
–Действия, которые запрещено производить сотрудникам (Открывать корпус ПК и изменять его конфигурацию; Несанкционированно изменять настройки ПО, параметры доступа к ресурсам КИС; Отключать антивирусное ПО, а также предусмотренные средства защиты; Подключать к ЛВС несанкционированное оборудование (Например, активное сетевое оборудование, незарегистрированные компьютеры и т.д.); умышленно использовать недокументированные свойства и ошибки в ПО или в настройках средств защиты; Осуществлять действия, направленные преодоление систем безопасности, получение несанкционированного доступа к ресурсам КИС, ухудшение рабочих характеристик КИС, перехват информации, циркулирующей в КИС; Оставлять переносные компьютеры
5
исредства хранения информации без личного присмотра, в случаях, если это может привести к их краже (можно ввести правило использования замков для переносных компьютеров или требование по помещению их в закрывающийся на ключ шкаф на время обеденного перерыва
ипосле окончания рабочего дня); Осуществлять обработку информации ограниченного доступа на ПК в присутствии лиц, не уполномоченных для доступа к данной информации, если при этом указанные лица смогут ознакомиться с обрабатываемой информацией; Несанкционированно записывать и хранить информацию на неучтенных носителях информации, а также оставлять без личного присмотра на рабочем месте носители информации и распечатки, содержащие информацию ограниченного доступа; Хранить и обрабатывать развлекательные мультимедийные файлы в КИС; Допускать к работе на ПК лиц, не имеющих прав доступа в КИС).
Парольная политика
Для предотвращения несанкционированного доступа к ресурсам КИС используются пароли и/или аппаратные средства аутентификации.
Рассмотрим основные правила, которые должен выполнять сотрудник организации:
–Сотрудники обязаны обеспечить безопасное хранение пароля и/или средства утентификации,
исключающие их утерю или разглашение;
–Рекомендуется изменять пароли с периодичностью не более 90 дней, при смене пароля новое значение должно отличаться от предыдущего не менее чем в 3-х позициях;
–Запрещается сообщать кому-либо, даже администраторам сети, свой пароль для доступа к информационным ресурсам КИС;
–В случае подозрения на разглашение пароля
необходимо |
немедленно |
изменить |
пароль |
и |
6
проинформировать начальника (своего отдела, отдела безопасности);
– Требования, в соответствии с которыми сотрудник обязан создавать пароль (пароль должен состоять не менее чем из восьми символов; пароль не должен быть легко угадываемым (пароль не должен включать повторяющуюся, последовательность каких-либо символов (например, «111111», «aaaaaa», «12345», «qwerty», «йцукен» и т.п.),
пароль не должен включать в себя легко подбираемые сочетания символов (имена, фамилии, наименования, клички домашних животных, даты рождения и т.д.) и общепринятые сокращения (ЭВМ, ЛВС, USER и т.п.));
Работа с электронной почтой
При эксплуатации электронной почты, сотрудники обязаны выполнять следующие требования:
–Допускается использовать корпоративную электронную почту только для выполнения своих служебных обязанностей;
–Запрещается самовольно менять настройки почтовой системы;
–Запрещается отправлять сообщения противозаконного, враждебного или неэтического содержания;
–Запрещается использовать публичные сервисы электронной почты (например, Yahoo, Mail, Yandex и др.) для осуществления корпоративной деятельности;
–Для защиты сообщений от подмены, модификации и прочтения третьими лицами следует использовать средства шифрования электронной почты и электронной подписи;
–При получении электронных содержаний сомнительного содержания и/или из незнакомого источника не следует открывать файлы, вложенные в сообщение, так как они с большой вероятностью могут содержать вирусы. Такие сообщения необходимо удалять;
7
–Не следует отвечать на подозрительные письма, а также сообщать любые данные о себе, если сотрудник не доверяет отправителю письма;
–Запрещается в личных целях публиковать личный корпоративный адрес сотрудника при заполнении анкет, так как эти данные могут быть использованы для рекламных рассылок;
–Запрещается самостоятельно настраивать и включать автоматическую пересылку сообщений корпоративной электронной почты на внешние адреса электронной почты.
Работа в сети Интернет
При использовании Интернет, пользователи обязаны выполнять следующие требования:
–допускается использовать ресурсы Интернет только для выполнения своих служебных обязанностей;
–запрещается посещать ресурсы Интернет, содержащие материалы противозаконного, экстремистского или неэтического характера, использовать доступ в Интернет
вразвлекательных целях;
–запрещается несанкционированно размещать какуюлибо информацию в Интернет;
–запрещается использовать Интернет для несанкционированной передачи (выгрузки) или получения (загрузки) материалов, защищенных авторским правом;
–запрещается несанкционированно загружать программы из сети Интернет и запускать их;
–запрещается осуществлять попытки несанкционированного доступа к защищенным ресурсам Интернет (перебор паролей, использование уязвимостей и неправильных настроек информационных систем);
–запрещается осуществлять туннелирование сетевого трафика при обращении к ресурсам сети Интернет через корпоративные прокси сервера;
–запрещается несанкционированное использование систем мгновенного обмена сообщениями (Instant Messaging),
8