Политика информационной безопасности единой системы электронного документооборота государственных органов (стр. 3 )

Из за большого объема этот материал размещен на нескольких страницах:
1 2 3 4

8.  Пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, наименование автоматизированного рабочего места - АРМ и так далее), а также общепринятые сокращения (ЭВМ, ЛВС, USER и т. п.);

9.  При смене пароля новое значение должно отличаться от предыдущего не менее, чем в 5 позициях;

10.  Пароль может быть создан только самим пользователем. Запрещается генерировать пароли системным администраторам, компьютерными программами и сторонними пользователями;

11.  Пароль может использоваться на протяжении максимум 12 месяцев. При использовании доменной учетной записи, срок действия пароля не более 30 дней. По истечении этого периода система должна потребовать от пользователя изменить его. Данное требование в принудительном порядке реализуется посредством программного обеспечения аутентификации;

12.  Учетные записи постоянных работников действительны в течении 12 месяцев, если иное не оговорено особо. Максимальный предел запрашиваемого времени действия учетной записи составляет 24 месяца. По прошествии срока действия учетной записи она может быть повторно активирована на тот же период времени после подтверждения личности и разрешения руководства.

13.  Системные учетные записи, которые не использовались в течение последних 90 дней, автоматический отключаются, чтобы снизить риск применения неиспользуемых учетных записей неавторизованными сторонами. Любой легитимный пользователь, чья учетная запись была отключена таким образом, может реактивировать ее, подтвердив свою личность и получив соответствующее разрешение руководства.




14.  После десяти последовательных неудачных попыток входа в систему автоматический отключается учетная запись, чтобы снизить риск несанкционированного доступа. Любой легальный пользователь, чья учетная запись была заблокирована таким образом, может заново активировать ее, подтвердив свою личность и получив разрешение на разблокирование от руководства;

15.  Администратор ИС ведет журнал регистрации пользователей (в электронном виде), содержащий следующие реквизиты:

1)  фамилия, имя, отчество пользователя;

2)  организация;

3)  идентификационный номер организации;

4)  наименованием структурного подразделения;

5)  должность;

6)  адрес, телефон;

7)  адрес электронной почты;

8)  уровни доступа;

9)  дата присвоения учетной записи пользователя из списка пользователей ИС;

10)  дата удаления учетной записи пользователя из списка пользователей ИС;

11)  отметка об увольнении и снятии с учета

12)  Данные журнала регистрации пользователей должны быть доступны только Администратору ИС и сотрудникам СИБ.

6.  Идентификаторы пользователей

1.  Для аутентификации в системе пользователям ЕСЭДО Администратором ЕСЭДО создаются уникальные идентификационные файлы (ID-файлы) в среде Domino.

2.  Ответственность за сохранность ID-файлов возлагается на организации.

3.  Администратор ЕСЭДО должен обеспечить хранение всех ID-файлов пользователей на отдельном съемном носителе, размещаемом в огнестойком сейфе в запираемой комнате.




4.  Съемный носитель и сейф предоставляются организацией.

5.  Право единоличного доступа к сейфу предоставляется Администратору ЕСЭДО.

6.  Обеспечение актуальности копий ID-файлов возлагается на Администратора.

7.  Пользователь в обязательном порядке должен быть ознакомлен с назначением и свойствами ID-файлов.

8.  Пользователь несет персональную ответственность за сохранность и конфиденциальность предоставленного ему ID-файла.

7.  Уровни доступа к ИС, роли и порядок их назначения

В целях обеспечения информационной безопасности ИС, а также определения зоны ответственности и компетентности каждого пользователя ИС используется процедура назначения и поддержки уровней доступа и ролей. Ответственность за выбор пары «уровень доступа – роль» несет руководитель подразделения пользователя.

При назначении уровня доступа и ролей, указанным в заявке, администратор обязан осуществлять контроль их совместимости и непротиворечивости: доступ к объектам и перечень разрешенных действий над ними на уровне доступа и права роли должны быть приведены к взаимному соответствию (см. «Руководство администратора системы ЕСЭДО-В»)

8.  Пересмотр прав доступа пользователей

Для обеспечения эффективного контроля за доступом к данным и информационным системам руководство должно реализовывать формальный процесс пересмотра прав доступа пользователей через регулярные промежутки времени. Такой процесс должен обеспечивать следующее:

1)  пересмотр полномочий доступа пользователей через регулярные промежутки времени (6 месяцев);




2)  пересмотр разрешения на предоставление специальных привилегированных прав доступа через более короткие промежутки времени (3 месяца);

3)  проверка предоставленных привилегий через регулярные промежутки времени, чтобы не допустить получения пользователями несанкционированных привилегий.

Даты проведения таких мероприятий внутри указанных периодов должны быть выбраны случайным образом.

9.  Права и обязанности пользователя ИС

1.  Пользователь при выполнении своих обязанностей имеет право использовать ресурсы ИС в полном объеме в соответствие с установленными уровнем доступа и правами.

2.  Пользователь не имеет права работать под чужими логином и/или паролем. В случае, если руководство предлагает пользователю работать в таких условиях, пользователь вправе потребовать письменного указания (приказа) руководства, согласованного со службой ИБ, и не приступать к работе до получения такого указания (приказа).

3.  Пользовать имеет право проверять содержание своей учетной записи.

4.  Пользователь обязан обеспечить конфиденциальность и сохранность логина и пароля. При компрометации своих регистрационных данных пользователь должен незамедлительно оповестить об этом непосредственного руководителя (сотрудника ИБ, администратора ИС).

5.  Пользователь обязан сообщать обо всех ставших ему известными фактах компрометации паролей других сотрудников в службу ИБ.

6.  При увольнении из организации, переходе в другое подразделение или любом другом событии, при котором изменилась вышеуказанная информация, пользователь (руководитель пользователя) обязан сообщить об этом администратору ИС.




7.  Для удаления/изменения своей учетной записи пользователь обязан подать Заявку по форме ФЗ-1, администратор на основании этой заявки ИС обязан уничтожить/изменить учетную запись пользователя в системе, внести соответствующую запись в журнал регистрации пользователей и сообщить об этом подразделению, ответственному за информационную безопасность.

Форма ФЗ-1

[на имя лица,

курирующего подразделение,

ответственное за ИС]

З А Я В К А № _________

на регистрацию пользователя ИС

Тип регистрации

Отметка

1

Первичная

2

Изменение прав

3

Удаление

4

Вторичная

5

По факту компрометации

б

По указанию службы ИБ

7

Служебное перемещение

(указать нужное в графе «Отметка» значком «Х»)

________________________________________

(Ф. И.О.- полностью)

[Поле для отметок (штампов) ОТБ, ППБ, ЭБ, ИБ…]

С Инструкциями и порядком регистрации пользователей в системе ознакомлен (а) и обязуюсь их выполнять ________________________________

(Ф. И. О. подпись пользователя)

Параметры регистрации

1.   

Организация

2.   

Идентификационный номер по Госрегистру

3.   

Подразделение

4.   

Должность

5.   

Уровень доступа

6.   

Роль (роли)

7.   

№ телефона, адрес, кабинет

8.   

IP - адрес компьютера

Руководитель_______________________________ _______

(подразделение, подпись) (дата подачи заявки)

Согласовано: (руководители служб ИБ, техподдержки ИС, эксплуатации ИС)

Приложение 2

К проекту документа




«Политика информационной безопасности»

Инструкция по резервному копированию программных и информационных ресурсов.

1.  Общие положения

С целью поддержания целостности и доступности информации в системе, а также недопущения ее утраты должно осуществляться оперативное резервирование и страховое сохранение информации в виде строго выполняемого регламентированного процесса копирования информации, промежуточного хранения и при необходимости или наступлении страхового случая - восстановления.

Настоящая Инструкция определяет требования к организации мероприятий по резервному копированию программных и информационных ресурсов компоненты «электронного правительства», а также устанавливает ответственность при проведении этих мероприятий.

2.  Резервное копирование данных

В соответствии с утвержденным документом «Руководство администратора ЕСЭДО» должны регулярно создаваться и тестироваться резервные копии данных и ПО.

Необходимо обеспечить соответствующее оборудование для резервного копирования, гарантирующее восстановление всей необходимой информации и ПО после отказа носителей информации или аварии. Необходимо иметь в распоряжении не менее двукратного физического запаса оттестированных носителей.

При копировании данных следует учитывать следующие факторы:

1)  владельцами ресурсов быть определен, а руководством утвержден состав информации, подлежащей резервному и страховому копированию;

2)  должны составляться точные и полные отчеты установленной формы по созданию резервных копий, должны документироваться процедуры восстановления информации;




3)  объем резервного копирования (например, полное или выборочное резервное копирование) и периодичность его выполнения должны соответствовать производственным требованиям организации, требованиям безопасности вовлеченной в копирование информации и критичности этой информации для продолжения работы организации;

4)  резервные копии должны храниться в удаленном месте, на расстоянии, достаточном для предотвращения какого-либо ущерба вследствие стихийного бедствия или аварии на основной территории организации, причем категорически запрещается хранение носителя непосредственно в устройстве записи/чтения;

5)  резервная копия данных, вынесенная на удаленное хранение, должна иметь уровень физической защиты и защиты от воздействия окружающей среды, соответствующий стандартам, применяемым на основной территории; средства управления, применяемые для носителей информации на основной территории, должны действовать и на территории, на которой хранятся резервные копии;

6)  носители резервных копий информации должны регулярно проверяться, чтобы гарантировать их надежность на тот случай, если ими необходимо будет воспользоваться в чрезвычайных обстоятельствах, остаточный ресурс службы должен быть не менее 30 процентов от полного;

7)  должны регулярно тестироваться и проверяться рабочие и аварийные режимы процедуры восстановления информации, чтобы гарантировать их эффективность и возможность завершения в сроки, отведенные для отработки процедур восстановления рабочих данных;




8)  в ситуациях, в которых важно сохранение конфиденциальности, резервные копии должны быть защищены шифрованием.

При наличии технических возможностей процессы восстановления и резервного копирования информации могут быть автоматизированы. При этом такие автоматизированные решения должны быть в достаточной степени выверены, протестированы и отработаны до ввода их в промышленную эксплуатацию.

3.  Перечень ресурсов ЕСЭДО, подлежащих резервному копированию

Резервному копированию подлежат:

1)  данные о настройках системы как единого целого для всех участников ЕСЭДО, хранимые в среде ORACLE на сервере ЕСЭДО-Ц;

2)  справочники нормативно-справочной информации (НСИ) для всех участников ЕСЭДО, хранимые в среде ORACLE на сервере ЕСЭДО-Ц;

3)  данные о настройках системы для каждого конкретного участника ЕСЭДО, хранимые в среде Lotus на сервере ЕСЭДО-В;

4)  данные, накопленные в результате производственной деятельности конкретного участника ЕСЭДО, хранимые в среде Lotus на сервере ЕСЭДО-В;

5)  данные, накопленные в результате межведомственного обмена всех участников, хранимые в среде ORACLE на сервере ЕСЭДО-Ц;

6)  данные незавершенного сеанса передачи посредством СГДС, сохраненные в среде MQ Series.

В настоящее время сложилось следующее распределение зон ответственности за резервное копирование ресурсов ЕСЭДО:

1)  по п.1 – системный администратор ОС, системный администратор ORACLE (ЕСЭДО-Ц);

2)  по п.2 – администратор БД ORACLE (ЕСЭДО-Ц);




3)  по п.3 – администратор БД Lotus, системный администратор ОС (ЕСЭДО-В);

4)  по п.4 – администратор БД Lotus (ЕСЭДО-В);

5)  по п.5 – администратор БД ORACLE (ЕСЭДО-Ц);

6)  по п.6 – системный администратор ОС (ЕСЭДО-Ц);

Должны быть внедрены процедуры документирования процессов резервного копирования

Рекомендуется дополнительно производить копирование данных по итогам каждого месяца на отдельный носитель с обеспечением его сохранности вне территории организации в течение 1 года. Не рекомендуется хранить носители разных организаций в одном месте.

Резервное копирование должно выполняться (для автоматического режима – контролироваться) вышеуказанным персоналом согласно утвержденному расписанию.

Для целей надежного сохранения данных ЕСЭДО-Ц необходимо создать резервный Центр ЕСЭДО.

4.  Обращение с носителями информации

Все операции и процессы, выполняемые с носителями информации, должны гарантировать недопущение фактов несанкционированного раскрытия, изменения, удаления или разрушения ресурсов или отказе в доступе.

Все операции и процессы, выполняемые с носителями информации, должны контролироваться. Носители как вещный ресурс должны быть физически защищены.

Должны быть разработаны и реализованы соответствующие процедуры работы для защиты от несанкционированного раскрытия, изменения, удаления и уничтожения компьютерных носителей информации, данных ввода – вывода, системной документации.

5.  Управление сменными носителями информации

Должны быть разработаны и реализованы процедуры управления использованием сменных носителей информации. В целом эти процедуры должны быть согласованы с требованиями к носителям как к ресурсам (см. главу 7 данного документа)




Должны быть рассмотрены следующие рекомендации по управлению использованием сменных носителей информации:

1)  если содержимое любых носителей информации многократного использования, которые должны быть удалены из организации, больше не требуется, это содержимое нужно сделать невосстанавливаемым;

2)  в случае, когда это необходимо и практически реализуемо, удаление носителей информации из организации должно осуществляться только после получения соответствующего разрешения, при этом должен составляться и сохраняться специальный отчет, который затем должен использоваться при аудиторских проверках;

3)  все носители информации должны храниться в безопасных, надежных условиях, в соответствии со спецификациями изготовителей;

4)  следует предусмотреть меры по своевременной миграции данных с морально устаревших носителей информации на новые типы носителей, а также с носителей со сроком хранения, превысившим 80-ти процентный рубеж от рекомендуемого;

5)  для снижения вероятности потери данных должна быть предусмотрена регистрация съемных носителей информации;

6)  съемные дисковые носители информации следует использовать только в тех случаях, когда это диктуется производственными требованиями.

Все процедуры и уровни санкционирования должны быть четко документированы.

6.  Утилизация носителей информации

Вышедшие из употребления носители информации должны утилизироваться способами, не допускающими получения с них информации в каком-либо виде.

Процедуры безопасной утилизации носителей информации должны сводить к минимуму риск утечки конфиденциальной информации к лицам, которые не должны иметь к ней доступа.




Процедуры безопасной утилизации носителей информации, содержащих такую информацию, должны быть адекватны степени критичности этой информации.

Должны быть рассмотрены следующие рекомендации:

1)  носители информации, содержащие критичную информацию, должны храниться и утилизироваться надежными и безопасными способами, например, сжиганием или измельчением, либо стиранием данных, если они будут затем использоваться в пределах организации для работы с другими приложениями;

2)  должны быть разработаны и реализованы процедуры по идентификации объектов, которые могут потребовать безопасной утилизации;

3)  допускается применять групповое уничтожение носителей путем физического уничтожения (измельчение, сжигание…);

4)  услуги по сбору и утилизации бумаги, оборудования и носителей информации предлагаются многими организациями; необходимо соблюдать осторожность при выборе подходящего контрагента с адекватными средствами управления и опытом или воспользоваться рекомендациями компетентных органов;

5)  при утилизации носителей, содержащих конфиденциальную (критичную) информацию должны составляться отчеты. Эти отчеты затем следует использовать при аудиторских проверках.

Утилизацию носителей рекомендуется производить периодически. Не следует накапливать большие объемы предназначенных для утилизации носителей. При этом возможно проявление эффекта агрегирования, заключающегося в том, что большое количество открытой, несекретной информации, собранное воедино, может быть успешно использовано для поиска конфиденциальной информации методом сопоставимости.




Утилизацию носителей не следует считать «третьесортным» процессом и выполнять ее надо со всей тщательностью.

7.  Процедуры обращения с информацией

Для защиты информации от несанкционированного раскрытия или неправильного использования должны быть разработаны и реализованы процедуры по обращению с информацией и по ее хранению. Состав таких процедур ограничивается областью использования систем применительно к категориям доступа документов.

Система ЕСЭДО предназначена для работы с несекретными документами, и применительно к этому должны быть рассмотрены следующие рекомендации:

1)  ограничения доступа к информации лиц, не имеющих соответствующего разрешения;

2)  поддержка составления формальных отчетов о получателях данных, имеющих соответствующее разрешение;

3)  обеспечение полноты введенных данных, должного завершения их обработки и проверки правильности выводимой информации;

4)  хранение носителей информации в соответствии со спецификациями изготовителей;

5)  четкая и понятная маркировка всех копий носителей информации для удобства работы с ними всех санкционированных получателей;

6)  регулярная проверка списков рассылки и списков получателей, имеющих разрешение.

8.  Защита системной документации от несанкционированного доступа

Системная документация должна быть защищена от несанкционированного доступа к ней, а также должны быть приняты достаточные меры по обеспечению ее надежного физического хранения. При этом под системной документацией понимаются, в том числе и носители с исходными кодами ПО.




При обеспечении безопасности системной документации должны быть рассмотрены следующие рекомендации:

1)  системная документация (экземпляр организации) должна храниться в надежном месте с наличием обязательного экземпляра в Депозитарии программных кодов и технической и документации;

2)  список доступа к системной документации, как минимум, должен быть санкционирован и обслуживаться владельцем приложения;

3)  системная документация, хранимая в сети общего пользования или передаваемая через сеть общего пользования, должна быть соответствующим образом защищена;

4)  рекомендуется иметь не менее 3 копий поддерживаемых электронных версий, раздельно хранящихся в 3 территориально обособленных местах.

Приложение 3

К проекту документа

«Политика информационной безопасности»

Регламент доступа администраторов (персонала) к серверам ЕСЭДО

1.  Общие положения

Настоящий «Регламент доступа администраторов (персонала) к серверам ЕСЭДО», далее – регламент, устанавливает единый порядок доступа персонала к серверам единой системы электронного документооборота, далее – ИС, в процессе производственной эксплуатации ИС, а так же при проведении работ по обслуживанию аппаратного и программного обеспечения серверов ИС, с непосредственным физическим доступом в серверное помещение.

Регламентация доступа к серверу проводится с целью поддержания уровня безопасности ИС по направлениям «общая безопасность ИС», «защита оборудования» и «контроль доступа», а также обеспечения принципа персональной ответственности каждого участника ИС за свои действия. Для доступа в серверное помещение администраторы ИС должны руководствоваться регламентом доступа в серверные помещения, утвержденным организацией, ответственной за серверное помещение, в котором расположен сервер ИС.




Для выполнения работ, указанных в п.1, назначаются администраторы ИС и технический персонал.

Администраторы ИС назначаются руководителем организации из числа сотрудников, имеющих необходимую квалификацию, подтвержденную соответствующими сертификатами. В группе администраторов должен быть назначен один администратор ИС, определенный как ответственный за ИС. При необходимости для выполнения работ, указанных в п.1, могут привлекаться сторонние организации.

В настоящем регламенте используются основные понятия и термины, используемые в стандартах СТ РК 34. «Информационная технология. Базы данных. Основные термины и определения», СТ РК 34. «Информационная технология. Телекоммуникационные сети. Основные термины и определения», СТ РК 34. «Информационная технология. Основные термины и определения».

2.  Категории персонала, имеющего право доступа к серверам ИС и виды доступа

1.  Устанавливаются следующие категории персонала, имеющего право доступа к серверам ИС:

1)  администратор ИС, определенный как ответственный за ИС – сотрудник организации (далее – уполномоченный администратор ИС);

2)  администратор ИС – сотрудник(и) организации;

3)  привлеченный администратор ИС – сотрудник(и) сторонней организации;

4)  сотрудники службы ИБ – сотрудники ответственные за ИБ организации;

5)  технический персонал - сотрудник(и) организации;

6)  привлеченный технический персонал - сотрудник(и) сторонней организации.

2.  Под «доступом» в контексте настоящей инструкции понимается физический доступ субъектов непосредственно к серверу с целью выполнения каких-либо работ технического характера, или действий с программным обеспечением, размещенным на сервере. Доступ в серверное помещение хозяйственного обслуживающего персонала, персонала инженерных служб, сотрудников всех видов охраны к этому виду доступа непосредственно не относится и определяется общим положением организации по доступу в охраняемые помещения (помещения с ограниченным доступом).




3.  Устанавливаются следующие виды доступа:

- единоличный доступ без сопровождения;

- групповой доступ в сопровождении уполномоченного администратора ИС.

3.  Порядок доступа

1.  Правом единоличного доступа без сопровождения обладает только уполномоченный администратор ИС.

2.  Для всех остальных категорий персонала, указанных в п.6 настоящей инструкции, устанавливается право группового доступа в сопровождении уполномоченного администратора ИС.

3.  В целях регламентации и персонального контроля доступа уполномоченный администратор ИС составляет список персонала организации, имеющего право доступа к серверу с указанием характера выполняемых работ. Список согласовывается со службой ИБ, охраной и утверждается руководством. Для привлеченного персонала сторонних организаций составляется список такой же формы. Этот список должен быть согласован службами ИБ и утвержден руководством обеих организаций. В списке в обязательном порядке должен быть указан старший группы.

4.  В списках в обязательном порядке сказывается общий срок их действия, а также (при необходимости) делается ссылка на возможность проведения работ во внеурочное время, выходные и праздничные дни.

5.  Списки составляются в трех обязательных экземплярах: один хранится непосредственно в серверном помещении на видном месте, второй передается в службу ИБ, третий в подразделение, непосредственно отвечающее за ИС. В службу охраны может быть передан пофамильный список персонала в составе служебной записки в установленном режимном порядке.




6.  Контроль актуальности данных списка осуществляет уполномоченный администратор ИС.

4.  Контроль доступа при выполнении работ

1.  До начала выполнения каких-либо работ на серверном оборудовании уполномоченный администратор ИС совместно с руководством подразделения, ответственного за ИС (эксплуатирующего ИС), определяет их характер с учетом возможных перерывов в работе ИС, состав, планируемые сроки начала и окончания.

2.  После взаимного согласования составляется план–задание, утверждаемый в установленном порядке. В план-задание включается спецификация как работ, выполняемых непосредственно на сервере, так и подготовительных работ, выполняемых в подразделении, ответственном за ИС (эксплуатирующем ИС). На основании плана-задания составляется список персонала, который будет выполнять работы. После взаимного согласования с причастными службами (при необходимости) план-задание утверждается руководством.

3.  Уполномоченный администратор ИС несет ответственность за соблюдение соответствия состава фактически задействованного персонала составу персонала, заявленного в списке, а также за полноту и качество выполненных работ и последствия их проведения в соответствие с должностными обязанностями независимо от того, кто являлся их фактическим исполнителем (штатный или привлеченный персонал). При работе с сервером администраторы ИС, отвечающие за системное и прикладное администрирование, должны руководствоваться Положением о закреплении и разграничением функций и полномочий администраторов системы, политикой информационной безопасности, а также при работе в серверном помещении необходимо руководствоваться настоящими Регламентом и Положением о службе ИБ.




4.  Уполномоченный администратор ИС обеспечивает ведение журнала административных действий на сервере (см. приложение ФЖ1), журнала технического обслуживания (см. приложение ФЖ2), а также журнала доступа к серверу (см. приложение ФЖ3) с информацией о лицах, не находящихся в списке доступа, но допущенных к серверу в сопровождении уполномоченного администратора ИС, с указанием фамилии, имени, даты, времени и цели доступа.

5.  Права и обязанности персонала, имеющего доступ к серверам ИС

1.  При проведении работ запрещается заносить в серверное помещение какие–либо носители информации, детали, узлы, инструменты и прочие предметы, не предназначенные для выполнения запланированных работ.

2.  При нахождении в серверном помещении персонала (проведении работ) администратор ИС не имеет права оставлять сервер без присмотра в активированном состоянии.

6.  Изменения регламента

1.  Изменения и дополнения в регламент, а также в сопровождающие его документы, вносятся по представлению службы ИБ, подразделения программно-технической поддержки функционирования ИС и утверждаются руководством.

2.  Служба ИБ должна проинформировать всех пользователей ИС о произведенных изменениях и дополнениях в регламенте, а также в сопровождающие его документы в 3-х дневный срок.

ФЖ1. Журнал административных

действий на сервере

Дата начала____________ Дата окончания____________

Дата и время

Проведенные работы

Исполнитель

Уполномоченный администратор ИС

Примечание




Начало работ

Конец работ

ФЖ2. Журнал технического

обслуживания

Дата начала____________ Дата окончания____________

Дата и время

Проведенные работы

Исполнитель

Уполномоченный администратор ИС

Примечание

Начало работ

Конец работ

ФЖ3. Журнал доступа к серверу

Дата начала____________ Дата окончания____________

Дата начало

Дата конец

Ф. И.О.

Цель доступа

Уполномоченный администратор ИС

Примечание

Приложение 4

К проекту документа

«Политика информационной безопасности»

Инструкция о порядке действий в нештатных (кризисных) ситуациях

1.  Общие положения

Настоящая инструкция предназначена для организации порядка действий при возникновении нештатных ситуаций/инцидентов в информационной системе ЕСЭДО (далее ИС).

Контроль и координация действий при проведении мероприятий по устранению нештатной ситуации/инцидентов возлагаются на службы ИБ, техподдержки ИС, эксплуатации ИС.

В данной инструкции рассматриваются такие вопросы, как:

1.  Источники угроз безопасности и их виды;

2.  Кризисные ситуации и категории;

3.  Меры обеспечения непрерывной работы и восстановления работоспособности ИС;

4.  Общие требования при возникновении кризисной ситуации;

5.  Управление инцидентами информационной безопасности;

6.  Общий сценарий действий по факту уведомления об инциденте;

7.  Процедуры управления инцидентами информационной безопасности.

2.  Источники угроз безопасности

Основными источниками угроз безопасности ИС и информации являются:




1.  стихийные бедствия и аварии (наводнение, ураган, землетрясение, пожар и т. п.);

2.  сбои и отказы оборудования (технических средств) ИС;

3.  ошибки проектирования и разработки компонентов ИС (аппаратных

4.  средств, технологии обработки информации, программ, структур данных и т. п.);

5.  ошибки эксплуатации (пользователей, операторов и другого персонала);

6.  преднамеренные действия нарушителей и злоумышленников;

При этом угрозы подразделяются на 2 вида естественные и искусственные:

Естественные угрозы - это угрозы, вызванные воздействиями на ИС и ее элементы объективных физических процессов или стихийных природных явлений, независящих от человека.

 Искусственные угрозы - это угрозы ИС, вызванные деятельностью человека. Среди них, исходя из мотивации действий, можно выделить:

непреднамеренные (неумышленные, случайные) угрозы, вызванные ошибками в проектировании ИС и ее элементов, ошибками в программном обеспечении, ошибками в действиях персонала и т. п.

Основные непреднамеренные искусственные угрозы:

1) неумышленные действия, приводящие к частичному или полному отказу системы или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т. п.);

2) неправомерное отключение оборудования или изменение режимов работы устройств и программ;

3) неумышленная порча носителей информации;

4) запуск технологических программ, способных при некомпетентном использовании вызывать потерю работоспособности системы (зависания или зацикливания) или осуществляющих необратимые изменения в системе (форматирование или реструктуризацию носителей информации, удаление данных и т. п.);




5) несанкционированный доступ и использование неучтенных программ (игровых, обучающих, технологических и др., не являющихся необходимыми для выполнения нарушителем своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях);

6) заражение компьютера вирусами;

7)неосторожные действия, приводящие к разглашению конфиденциальной информации, или делающие ее общедоступной;

8) разглашение, передача или утрата атрибутов разграничения доступа (паролей, ключей шифрования, идентификационных карточек, пропусков и т. п.);

9) проектирование архитектуры системы, технологии обработки данных, разработка прикладных программ, с возможностями, представляющими опасность для работоспособности системы и безопасности информации;

10) игнорирование организационных ограничений (установленных правил) при работе в системе;

11) вход в систему в обход средств защиты (загрузка посторонней операционной системы со сменных магнитных носителей и т. п.);

12) некомпетентное использование, настройка или неправомерное отключение средств защиты персоналом службы безопасности;

13) пересылка данных по ошибочному адресу абонента (устройства);

14) ввод ошибочных данных;

15) неумышленное повреждение каналов связи.

преднамеренные (умышленные) угрозы, связанные с корыстными, идейными или иными устремлениями людей (злоумышленников).

Основные преднамеренные искусственные угрозы:

Основные возможные пути умышленной дезорганизации работы, вывода системы из строя, проникновения в ИС и несанкционированного доступа к информации:

1) физическое разрушение системы (путем взрыва, поджога и т. п.) или вывод из строя всех или отдельных наиболее важных компонентов компьютерной системы (устройств, носителей важной системной информации, лиц из числа персонала и т. п.);

2) отключение или вывод из строя подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи и т. п.);

3) действия по дезорганизации функционирования системы (изменение режимов работы устройств или программ, забастовка, саботаж персонала, постановка мощных активных радиопомех на частотах работы устройств системы и т. п.);

4) внедрение агентов в число персонала системы (в том числе, возможно, и в административную группу, отвечающую за безопасность);

5) вербовка (путем подкупа, шантажа и т. п.) персонала или отдельных пользователей, имеющих определенные полномочия;

6) применение подслушивающих устройств, дистанционная фото - и видео-съемка и т. п.;

7) перехват побочных электромагнитных, акустических и других излучений устройств и линий связи, а также наводок активных излучений на вспомогательные технические средства, непосредственно не участвующие в обработке информации (телефонные линии, сели питания, отопления и т. п.);

Из за большого объема этот материал размещен на нескольких страницах:
1 2 3 4



Подпишитесь на рассылку:

Основы государства

История государственной безопасности

Информационная безопасность

Проекты по теме:

Основные порталы, построенные редакторами

Домашний очаг

ДомДачаСадоводствоДетиАктивность ребенкаИгрыКрасотаЖенщины(Беременность)СемьяХобби
Здоровье: • АнатомияБолезниВредные привычкиДиагностикаНародная медицинаПервая помощьПитаниеФармацевтика
История: СССРИстория РоссииРоссийская Империя
Окружающий мир: Животный мирДомашние животныеНасекомыеРастенияПриродаКатаклизмыКосмосКлиматСтихийные бедствия

Справочная информация

ДокументыЗаконыИзвещенияУтверждения документовДоговораЗапросы предложенийТехнические заданияПланы развитияДокументоведениеАналитикаМероприятияКонкурсыИтогиАдминистрации городовПриказыКонтрактыВыполнение работПротоколы рассмотрения заявокАукционыПроектыПротоколыБюджетные организации
МуниципалитетыРайоныОбразованияПрограммы
Отчеты: • по упоминаниямДокументная базаЦенные бумаги
Положения: • Финансовые документы
Постановления: • Рубрикатор по темамФинансыгорода Российской Федерациирегионыпо точным датам
Регламенты
Термины: • Научная терминологияФинансоваяЭкономическая
Время: • Даты2015 год2016 год
Документы в финансовой сферев инвестиционнойФинансовые документы - программы

Техника

АвиацияАвтоВычислительная техникаОборудование(Электрооборудование)РадиоТехнологии(Аудио-видео)(Компьютеры)

Общество

БезопасностьГражданские права и свободыИскусство(Музыка)Культура(Этика)Мировые именаПолитика(Геополитика)(Идеологические конфликты)ВластьЗаговоры и переворотыГражданская позицияМиграцияРелигии и верования(Конфессии)ХристианствоМифологияРазвлеченияМасс МедиаСпорт (Боевые искусства)ТранспортТуризм
Войны и конфликты: АрмияВоенная техникаЗвания и награды

Образование и наука

Наука: Контрольные работыНаучно-технический прогрессПедагогикаРабочие программыФакультетыМетодические рекомендацииШколаПрофессиональное образованиеМотивация учащихся
Предметы: БиологияГеографияГеологияИсторияЛитератураЛитературные жанрыЛитературные героиМатематикаМедицинаМузыкаПравоЖилищное правоЗемельное правоУголовное правоКодексыПсихология (Логика) • Русский языкСоциологияФизикаФилологияФилософияХимияЮриспруденция

Мир

Регионы: АзияАмерикаАфрикаЕвропаПрибалтикаЕвропейская политикаОкеанияГорода мира
Россия: • МоскваКавказ
Регионы РоссииПрограммы регионовЭкономика

Бизнес и финансы

Бизнес: • БанкиБогатство и благосостояниеКоррупция(Преступность)МаркетингМенеджментИнвестицииЦенные бумаги: • УправлениеОткрытые акционерные обществаПроектыДокументыЦенные бумаги - контрольЦенные бумаги - оценкиОблигацииДолгиВалютаНедвижимость(Аренда)ПрофессииРаботаТорговляУслугиФинансыСтрахованиеБюджетФинансовые услугиКредитыКомпанииГосударственные предприятияЭкономикаМакроэкономикаМикроэкономикаНалогиАудит
Промышленность: • МеталлургияНефтьСельское хозяйствоЭнергетика
СтроительствоАрхитектураИнтерьерПолы и перекрытияПроцесс строительстваСтроительные материалыТеплоизоляцияЭкстерьерОрганизация и управление производством

Каталог авторов (частные аккаунты)

Авто

АвтосервисАвтозапчастиТовары для автоАвтотехцентрыАвтоаксессуарыавтозапчасти для иномарокКузовной ремонтАвторемонт и техобслуживаниеРемонт ходовой части автомобиляАвтохимиямаслатехцентрыРемонт бензиновых двигателейремонт автоэлектрикиремонт АКППШиномонтаж

Бизнес

Автоматизация бизнес-процессовИнтернет-магазиныСтроительствоТелефонная связьОптовые компании

Досуг

ДосугРазвлеченияТворчествоОбщественное питаниеРестораныБарыКафеКофейниНочные клубыЛитература

Технологии

Автоматизация производственных процессовИнтернетИнтернет-провайдерыСвязьИнформационные технологииIT-компанииWEB-студииПродвижение web-сайтовПродажа программного обеспеченияКоммутационное оборудованиеIP-телефония

Инфраструктура

ГородВластьАдминистрации районовСудыКоммунальные услугиПодростковые клубыОбщественные организацииГородские информационные сайты

Наука

ПедагогикаОбразованиеШколыОбучениеУчителя

Товары

Торговые компанииТоргово-сервисные компанииМобильные телефоныАксессуары к мобильным телефонамНавигационное оборудование

Услуги

Бытовые услугиТелекоммуникационные компанииДоставка готовых блюдОрганизация и проведение праздниковРемонт мобильных устройствАтелье швейныеХимчистки одеждыСервисные центрыФотоуслугиПраздничные агентства

Блокирование содержания является нарушением Правил пользования сайтом. Администрация сайта оставляет за собой право отклонять в доступе к содержанию в случае выявления блокировок.