Экз. № ___
«Утверждаю»
Глава администрации Октябрьского
административного округа
города Омска
____________________
«____» __________________ 2011 г.
РУКОВОДСТВО
ПО ЗАЩИТЕ ИНФОРМАЦИИ
на объекте информатизации автоматизированная система
«1С Предприяте 8.1»
РАЗРАБОТАЛ:
Специалист 1–й категории административно хозяйственного отдела администрации Октябрьского административного округа города Омска
_______________
«___» _________ 2011 г.
г. Омск 2011
1. Список используемых сокращений
АС | – автоматизированная система |
ОТСС | – основные технические средства и системы |
ВТСС | – вспомогательные технические средства и системы |
ПЭВМ | – персональная электронно-вычислительная машина |
НСД | |
УК РФ | – уголовный кодекс Российской Федерации |
АК РФ | – административный кодекс Российской Федерации об административных правонарушениях |
ТС | – технические средства |
ТСПИ | – технические средства передачи информации |
СЗИ | – средства защиты информации |
УТК | – утечка по техническим каналам |
2. Общие положения
Настоящий документ определяет организацию, общие функции, права, обязанности и ответственность субъектов доступа, основные требования и рекомендации по защите информации в АС.
Настоящее руководство включает в себя:
– инструкцию ответственному за эксплуатацию объекта информатизации;
– инструкцию администратору безопасности АС;
– инструкцию пользователю АС;
– инструкцию по проведению антивирусного контроля на ПЭВМ, входящей в состав АС;
– инструкцию о порядке технического обслуживания, ремонта, модернизации технических средств, входящих в состав АС.
Настоящий документ разработан на основании действующих нормативных документов по вопросам защиты конфиденциальных сведений
2.1. Наименование объекта – АС «1С Предприятие 8.1»
2.2. Расположение объекта – Администрации октябрьского административного округа города Омска
2.3. Класс автоматизированной системы – 3
2.4. Класс ИСПДН – К3
3. Охраняемые сведения об объекте
3.1. Перечень охраняемых сведений:
– сведения об организации, методах и способах реализации системы защиты информации на объекте информатизации;
– материалы стендовых и объектовых специальных исследований, проведенных на объекте информатизации;
– материалы аттестационных испытаний объекта информатизации на соответствие требованиям по защите информации.
3.2. Цель – защита сведений ограниченного распространения (конфиденциальная информация), обрабатываемых в АС, и не составляющих государственную тайну.
Для достижения вышеуказанной цели применяется комплекс организационно–технических мероприятий по защите сведений ограниченного распространения от НСД. На объекте установлены и настроены сертифицированные по требованиям безопасности информации, СЗИ от НСД.
4. Демаскирующие признаки объекта и технические каналы утечки информации
4.1. Носителями демаскирующих признаков на объекте информатизации являются электромагнитные излучения, возникающие при работе ОТСС и ВТСС. Анализ и обработка опознавательных демаскирующих признаков позволяет определить принадлежность ОТСС к конкретному месторасположению. Демаскирующие признаки состояния выводят злоумышленника на изменение структуры сети, местоположения и временных режимов работы ОТСС, интенсивности их работы и т. д.
4.2. Возможные технические каналы утечки информации – побочные электромагнитные излучения (ПЭМИ) и наводки на вспомогательные технические средства и системы и их коммуникации на объекте информатизации, создаваемые ОТСС в процессе обработки информации.
5. Организационные и технические мероприятия по защите
5.1. Организационные мероприятия по защите АС
В качестве организационных мер защиты информации проведен комплекс организационных мероприятий по разработке и утверждению нормативных документов, регламентирующий порядок работы на объекте информатизации и назначении ответственных должностных лиц.
Разработаны следующие документы:
· Акт классификации информационной системы персональных данных;
· Технический паспорт на объект информатизации;
· Распоряжение о назначении ответственного за эксплуатацию объекта, администратора безопасности, утверждении инструкций;
· Описание технологического процесса обработки информации;
· Настоящее «Руководство по защите информации на объекте информатизации», включающее в себя следующие приложения:
– инструкцию ответственному за эксплуатацию объекта информатизации;
– инструкцию администратору безопасности АС;
– инструкцию пользователю АС;
– инструкцию по проведению антивирусного контроля на ПЭВМ, входящей в состав АС;
– инструкцию о порядке технического обслуживания, ремонта, модернизации технических средств, входящих в состав АС;
· Перечень защищаемых информационных ресурсов, обрабатываемых в автоматизированной системе;
· Список постоянных пользователей и установленные им права доступа к информационным и техническим ресурсам ЭВМ;
· Перечень разрешенного к использованию в автоматизированной системе программного обеспечения.
5.2. Организация охраны и контроля доступа на объекте
В соответствии с Муниципальным контрактом физическая безопасность обеспечивается наличием круглосуточно работающих постов милиции. Здание и прилегающая территория оборудованы системой охранного телевидения (видеонаблюдения), пульт которой выведен на пост милиции. Охрана зданий обеспечивается сотрудниками Администрация вневедомственной охраны при Управлении внутренних дел по Омской области.
Вход в здание работников осуществляется только через парадную дверь и пост милиции по предъявлению служебного удостоверения (пропуска).
5.3. Технические мероприятия по защите АС.
Ключи от данного помещения выдаются и сдаются под роспись на пост охраны, кабинет отпечатывается. В рабочее время ключ хранится у ответственного за эксплуатацию объекта информатизации.
6. Обязанности и права должностных лиц
6.1. Субъекты доступа
Субъекты доступа АС указаны в списке постоянных пользователей, допущенных к работе на ПЭВМ в АС, утвержденном.
6.2. Обязанности должностных лиц
Должностные лица – субъекты доступа АС обязаны следовать установленному порядку при работе на объекте информатизации АС, четко выполнять требования настоящего документа и инструкций, утвержденных.
Субъекты доступа должны быть под роспись ознакомлены с настоящим документом и приложенным к нему инструкциям, в разрезе своих полномочий. Обязанность по ознакомлению пользователей с данным руководством и приложенными к нему инструкциями возлагается на ответственного за объект информатизации.
6.3. Права должностных лиц
Должностные лица – субъекты доступа АС вправе требовать четкого и правильного выполнения требования нормативных документов, инструкций, в разрезе своих полномочий.
6.4. Ответственность должностных лиц
Должностные лица – субъекты доступа АС несут дисциплинарную, административную и уголовную ответственность за нарушение настоящего руководства, инструкций к нему и нормативных документов утвержденных в организации, в соответствии с дисциплинарным порядком, установленным в организации, административным или уголовным кодексом Российской Федерации.
Запрещается:
Нарушать требования настоящего руководства, приложенных к нему инструкций, требования организационно-распорядительных документов утвержденных в организации, требования нормативных документов РФ в области защиты конфиденциальной информации и других документов, регламентирующих порядок работы на объекте.
Каждый субъект доступа должен под роспись быть ознакомлен со статьями УК РФ (ст.183, 272, 273, 274, 293) и АК РФ (глава 13) до начала работы на ПЭВМ, входящей в состав АС.
7. Планирование работ по защите информации и контроль состояния защиты информации
Планирование работ по защите информации на объекте АС оформляется на основании отдельного плана, разрабатываемого работником ответственным за эксплуатацию объекта информатизации.
АС проходит ежегодный контроль, проводимый органом по аттестации в соответствии с согласованной и утвержденной программой.
АС проходит ежедневный, ежемесячный и ежеквартальный контроль, проводимый сотрудниками, ответственными за защиту конфиденциальной информации. Объем проводимого контроля, необходимые мероприятия, привлечение других сотрудников или организаций отражаются в плане работ по защите конфиденциальной информации. Отметки о проведении контроля проставляются работником ответственным за эксплуатацию объекта информатизации в техническом паспорте на объект информатизации в п. 5. «Учет проведения регламентных проверок».
8. Аттестация рабочих мест
Аттестация, ежегодный контроль и переаттестации АС проводится организацией, имеющей лицензии на соответствующий вид деятельности.
Запрещается работа на объекте информатизации по обработке сведений ограниченного распространения до получения аттестата соответствия по требованиям безопасности информации и после истечения его, а также в случае приостановления его действия.
9. Взаимодействие с другими организациями в области защиты информации
Взаимодействие с организациями в области защиты информации осуществляется при наличии у данной организации соответствующей лицензии на данный вид деятельности на основании и в соответствии с заключенным договором.
Ответственность, права, и обязанности взаимодействующих сторон регламентируются совместными договорами и требованиями нормативных документов по защите информации.
Ответственность, права, и обязанности взаимодействующих сторон регламентируются совместными договорами.
Приложение
к руководству по защите информации
на объекте информатизации
АС «1С Предприятие 8.1»
ИНСТРУКЦИЯ
ОТВЕТСТВЕННОМУ ЗА ЭКСПЛУАТАЦИЮ ОБЪЕКТА ИНФОРМАТИЗАЦИИ АС «1С Предприятие 8.1»
1. Список используемых сокращений
АС | – автоматизированная система |
Объект | – объект информатизации АС |
ОС | |
ОТСС | – основные технические средства и системы |
ПЭВМ | – персональная электронно-вычислительная машина, входящая в состав ОТСС |
СЗИ | – средство защиты информации |
НСД | – несанкционированный доступ |
Администрация | – Администрации Октябрьского административного округа города Омска |
2. Общие положения
2.1. Настоящая инструкция определяет общие функции, права и обязанности ответственного за эксплуатацию Объекта по вопросам обеспечения защиты информации при разработке конфиденциальных документов на данном Объекте с применением ПЭВМ.
2.2. Ответственный за эксплуатацию Объекта назначается из числа сотрудников Администрации, обеспечивает правильное использование и функционирование системы защиты информации, установленной на Объекте.
2.3. Настоящая Инструкция разработана на основании действующих нормативных документов по вопросам защиты конфиденциальной информации.
3. Основные функции ответственного за эксплуатацию Объекта
3.1. Контроль за выполнением требований действующих нормативных и руководящих документов и защиты сведений, отнесенных к конфиденциальной информации, при проведении работ на Объекте.
3.2. Контроль доступа лиц на Объект в соответствии со списком сотрудников, допущенных на Объект (постоянно или временно).
3.3. Контроль доступа пользователей к работе на ПЭВМ (в соответствии со списком допущенных сотрудников).
3.4. Контроль за наличием и целостностью пломб (печатей, специальных защитных знаков) на корпусе ПЭВМ и устройств.
3.5. Организация технического обслуживания (ремонта, модернизации) ПЭВМ и других технических средств, установленных на Объекте.
3.6. Взаимодействие с администратором безопасности АС по вопросам обеспечения правильного использования пользователями СЗИ от НСД и контроля доступа этих пользователей к работе в АС.
3.7. Ведение и хранение документации на Объект.
3.8. Хранение копий лицензионной версии ОС и СЗИ от НСД, копий настроек СЗИ от НСД.
3.9. Контроль за соблюдением установленных правил и параметров регистрации и учета бумажных и машинных носителей информации, машинных носителей информации и документов.
4. Ответственный за эксплуатацию Объекта имеет право:
4.1. Требовать от работников соблюдения установленной технологии обработки конфиденциальной информации и исполнения настоящей Инструкции;
4.2. Участвовать в анализе ситуаций, касающихся функционирования средств защиты информации, и расследованиях фактов (попыток) несанкционированного доступа;
4.3. Требовать от пользователей, администраторов безопасности прекращения обработки информации на Объекте в случае:
– нарушения установленного порядка работ;
– нарушения работоспособности средств и систем защиты информации или окончания срока действия сертификатов соответствия ФСТЭК России;
– получения информации о возможном проведении технической разведки в отношении Объекта.
5. Ответственный за эксплуатацию Объекта обязан:
5.1. Обеспечивать правильное функционирование и поддерживать работоспособность технических средств и СЗИ на Объекте в пределах возложенных на него функций.
5.2. В случае отказа технических средств на Объекте принимать меры по их восстановлению.
5.3. Проводить инструктаж пользователей по правилам работы на Объекте в пределах компетенции этих пользователей.
5.4. Не реже двух раз в неделю проверять наличие пломб (печатей, специальных защитных знаков) на корпусе ПЭВМ и устройств.
5.5. Немедленно докладывать (по подчиненности) руководителю или лицу, исполняющему его обязанности, о неправомерных действиях пользователей или иных лиц, приводящих к нарушению требований по защите информации, а также об иных нарушениях требований информационной безопасности на Объекте.
5.6. Вести и хранить документацию на Объекте, копии лицензионной версии ОС и СЗИ от НСД, копии настроек СЗИ от НСД, в соответствии с требованиями нормативных документов.
5.7. Контролировать соблюдение пользователями АС установленных правил и параметров печати, регистрации и учета документов, а также регистрации и учета бумажных и машинных носителей информации.
5.8. Требовать от пользователей, администраторов безопасности прекращения обработки информации на ПЭВМ при появлении информации о возможном проведении технической разведки в отношении Объекта.
5.9. Приостанавливать работу с информацией ограниченного распространения на Объекте в случае окончания срока действия сертификатов соответствия ФСТЭК России, на любое СЗИ, из используемых на Объекте, до момента его продления. В случае не продления сертификата соответствия ответственный за эксплуатацию объекта информатизации обязан поставить в известность орган по аттестации, проводивший аттестацию Объекта, для принятия совместного решения.
Приложение
к руководству по защите информации
на объекте информатизации
АС «1С Предприятие 8.1»
ИНСТРУКЦИЯ
АДМИНИСТРАТОРУ БЕЗОПАСНОСТИ АС «1С Предприятие 8.1»
1. Список используемых сокращений
АС | – автоматизированная система |
Объект | – объект информатизации |
ОС | – операционная система |
ОТСС | – основные технические средства и системы |
ПЭВМ | – персональная электронно-вычислительная машина, входящая в состав ОТСС |
СЗИ | – средство защиты информации |
НСД | – несанкционированный доступ |
Администрация | – Администрации Октябрьского административного округа города Омска |
2. Общие положения
2.1. Настоящая инструкция определяет общие функции, права и обязанности администратора безопасности информации АС по вопросам обеспечения информационной безопасности при подготовке и исполнении конфиденциальных документов на ПЭВМ, входящих в состав АС.
2.2. Администратор безопасности информации назначается из числа сотрудников Администрации и обеспечивает правильное использование и функционирование установленных СЗИ от НСД.
2.3. Администратор безопасности информации имеет все права администратора СЗИ от НСД.
2.4. Настоящая Инструкция разработана на основании действующих нормативных документов по защите конфиденциальной информации.
3. Основные функции администратора безопасности
3.1. Контроль за выполнением требований действующих нормативных и руководящих документов по защите конфиденциальной информации, при проведении работ на ПЭВМ.
3.2. Работа с учетными записями пользователей АС (удаление, регистрация новых пользователей), их правильная настройка и разграничение прав доступа пользователей к защищаемым ресурсам АС согласно разрешительной системе доступа.
3.3. Своевременная корректировка разрешительной системы доступа:
– изменение списка постоянных пользователей АС (ввод или удаление пользователя из АС);
– изменение прав доступа к защищаемым программным ресурсам или портам ввода-вывода АС.
Корректировка разрешительной системы доступа осуществляется на основании служебной записки пользователя, согласованной со своим непосредственным начальником, ответственным за эксплуатацию объекта и утвержденной руководителем.
3.4. Контроль доступа пользователей к работе на ПЭВМ (в соответствии со списком допущенных сотрудников) и соблюдения пользователями требований нормативных и руководящих документов (в том числе путем просмотра системного журнала).
3.5. Контроль за ежеквартальным проведением пользователями АС смены их личных паролей для доступа к ПЭВМ.
3.6. Настройка и сопровождение подсистемы регистрации и учета действий пользователей при работе на ПЭВМ, в том числе и в части периодического контроля за печатью файлов пользователей на принтере и соблюдением установленных правил и параметров регистрации и учета документов, бумажных и машинных носителей информации.
3.7. Сопровождение подсистемы обеспечения целостности информации на ПЭВМ:
– периодический контроль за отсутствием на жестком магнитном диске ПЭВМ остаточной информации по окончании работы пользователей;
– поддержание установленного порядка и правил антивирусной защиты информации, обрабатываемой на ПЭВМ;
– контроль за соблюдением пользователями инструкции по антивирусному контролю.
3.8. Программирование, выдача и учет выдачи пользователям электронных ключей от СЗИ НСД (при их наличии).
3.9. Контроль за наличием и целостностью пломб (печатей, специальных защитных знаков) на корпусе ПЭВМ и устройств.
3.10. Контроль за вскрытием и ремонтом (модернизацией) ПЭВМ, недопущением доступа посторонних лиц к конфиденциальной информации во время вскрытия, ремонта, модернизации ПЭВМ или устройств, последующим опечатыванием ПЭВМ (устройств), составлением соответствующих актов.
3.11. Контроль срока действия сертификатов соответствия ФСТЭК России на средства защиты от несанкционированного доступа, установленных на Объекте.
4. Администратор безопасности имеет право:
4.1. Требовать от работников Администрации соблюдения установленной технологии обработки конфиденциальной информации и исполнения настоящей Инструкции.
4.2. Участвовать в анализе ситуаций, касающихся функционирования средств защиты информации, и расследованиях фактов (попыток) несанкционированного доступа.
4.3. Требовать от пользователей прекращения обработки информации на Объекте в случае:
– нарушения установленного порядка работ;
– нарушения работоспособности средств и систем защиты информации или окончания срока действия сертификатов соответствия ФСТЭК России;
– получения информации о возможном проведении технической разведки в отношении Объекта.
5. Администратор безопасности АС обязан:
5.1. Обеспечивать правильное функционирование и поддерживать работоспособность средств и СЗИ от НСД в пределах возложенных на него функций;
5.2. В случае отказа СЗИ от НСД принимать меры по их восстановлению;
5.3. Проводить инструктаж пользователей по правилам работы на ПЭВМ, с установленной СЗИ от НСД;
5.4. Немедленно докладывать (по подчиненности) ответственному за эксплуатацию Объекта, руководителю или лицу, исполняющему его обязанности, о фактах и попытках несанкционированного доступа к конфиденциальной информации, о неправомерных действиях пользователей или иных лиц, приводящих к нарушению требований по защите информации, а также об иных нарушениях требований информационной безопасности на объекте информатизации АС;
5.5. Вносить изменения в документацию на АС в соответствии с требованиями нормативных документов в части, касающейся СЗИ от НСД;
5.6. Проводить работу по выявлению возможных каналов утечки конфиденциальной информации, вести их учёт и принимать меры к их устранению;
5.7. Осуществлять не реже одного раза в неделю обновление антивирусных баз на ПЭВМ в АС;
5.8. Контролировать целостность (неизменность, сохранность) программного обеспечения, разрешительной системы доступа, а при обнаружении фактов изменения проверяемых параметров немедленно докладывать по подчинённости;
5.9. Вводить полномочия работников в разрешительную систему доступа, обеспечивать их своевременную корректировку;
5.10. Требовать от пользователей прекращения обработки информации на Объекте при появлении информации о возможном проведении технической разведки в отношении Объекта;
5.11. Заблокировать учетные записи пользователей на ПЭВМ в случае окончания срока действия сертификата соответствия ФСТЭК России, на любое СЗИ, из используемых на Объекте, до момента его продления. В случае не продления сертификата соответствия ФСТЭК России на СЗИ он обязан поставить в известность орган по аттестации, проводивший аттестацию Объекта, для принятия совместного решения.
Приложение
к руководству по защите информации
на объекте информатизации
АС «1С Предприятие 8.1»
ИНСТРУКЦИЯ ПОЛЬЗОВАТЕЛЮ АС «1С Предприятие 8.1»
1. Список используемых сокращений
АС | – автоматизированная система |
Объект | – объект информатизации АС |
ПЭВМ | – персональная электронно-вычислительная машина, входящая в состав ОТСС |
СЗИ | – средство защиты информации |
НСД | – несанкционированный доступ |
Администрация | – Администрации Октябрьского административного округа города Омска |
2. Общие положения
Настоящая инструкция определяет общие правила работы пользователей в АС при обработке (наборе, редактировании, хранении) и уничтожении конфиденциальной информации.
3. Допуск пользователей АС к работе на ПЭВМ
3.1. Допуск пользователей для работы в АС осуществляется в соответствии со списком лиц, утвержденным руководителем.
3.2. Для получения учетной записи пользователя с правами доступа к ресурсам ПЭВМ или для изменения уже имеющихся прав доступа, сотрудник Администрации пишет служебную записку на имя руководителя, в которой обосновывает необходимость обработки конфиденциальной информации на ПЭВМ, а также указывает следующие данные: обоснованный перечень ресурсов, доступ к которым необходим; состав программного обеспечения, необходимого для решения поставленных задач; вид доступа (постоянный или временный, если временный – то дату и время начала и окончания работы на ПЭВМ); режим работы.
Служебная записка регистрируется в соответствии с требованиями инструкции по делопроизводству, согласовывается с руководителем подразделения, в котором работает пользователь, ответственным за эксплуатацию объекта и администратором безопасности, а затем утверждается руководителем и передается ответственному за эксплуатацию объекта. Служебная записка хранится в деле у ответственного за эксплуатацию объекта.
3.3. Присвоение пользователю прав доступа к ресурсам АС и определение возможного времени работы пользователя АС осуществляется администратором безопасности АС при первичной регистрации учетной записи пользователя на ПЭВМ.
При этом администратор безопасности АС производит необходимые записи в списке постоянных пользователей АС, указывая в примечании регистрационный номер и дату служебной записки, Ф. И.О. и должность лица, её утвердившую.
3.4. Учет работы пользователей АС на ПЭВМ производится средствами СЗИ от НСД, установленных на ПЭВМ, в системном журнале.
4. Обязанности пользователя АС
4.1. Пользователь АС отвечает за правильность:
– включения и выключения ПЭВМ,
– входа в систему и все действия при работе на ПЭВМ.
Время начала и окончания работы на ПЭВМ, доступ к данным и другим ресурсам фиксируются в системном журнале средствами СЗИ от НСД, установленных на ПЭВМ.
4.2. Перед началом обработки информации на ПЭВМ пользователь АС обязан:
– удалить из помещения всех посторонних лиц (лиц, не имеющих права присутствовать в помещении при конфиденциальной информации);
– закрыть дверь, при необходимости – на замок;
– убедиться, что основные и вспомогательные технические средства находятся на местах, указанных в техническом паспорте.
4.3. Вход пользователя АС в систему осуществляется только после успешного прохождения процедуры идентификации и аутентификации в СЗИ от НСД. Для успешной идентификации и аутентификации пользователь АС должен предъявить свой персональный идентификатор (если имеется), выданный ему администратором безопасности АС, и правильно ввести свой личный пароль длиной не менее восьми символов, устанавливаемый самим пользователем.
4.4. Пользователь АС имеет право в отведенное ему время решать поставленные задачи в соответствии с правами доступа к ресурсам ПЭВМ, присвоенными ему администратором безопасности. При этом для хранения файлов, содержащих конфиденциальные сведения, разрешается использовать только специально выделенные каталоги на жестком магнитном диске, а также отчуждаемые машинные носители, учтенные в установленном порядке. При этом файлы, содержащие конфиденциальные сведения, регистрируются в специальном журнале учета файлов.
4.5. Резервное копирование, уничтожение и восстановление информации осуществляется пользователем в рамках выделенных ему полномочий либо через администратора безопасности. Пользователь АС производит резервное копирование файлов в процессе или перед окончанием работы на отчуждаемые носители, учтенные в установленном порядке.
4.8. При использовании отчуждаемых носителей пользователь АС каждый раз перед началом работы с ними обязан проверить их на отсутствие компьютерных вирусов с использованием штатных антивирусных программ, установленных на ПЭВМ, в соответствии с инструкцией по проведению антивирусного контроля. В случае обнаружения компьютерных вирусов пользователь АС обязан немедленно известить администратора безопасности АС.
4.9. По окончании работы пользователь АС обязан провести уничтожение остаточной информации (временных файлов) на жестком магнитном диске путем удаления их средствами ОС, работающей совместно с установленной на ПЭВМ СЗИ от НСД. Затем пользователь АС обязан выключить ПЭВМ, на которой производились работы.
4.10. В процессе работы пользователю запрещается:
– использовать для постоянного и временного хранения и обработки конфиденциальной информации каталоги жесткого магнитного диска не указанные в Перечне защищаемых ресурсов;
– осуществлять попытки НСД к ресурсам системы и других пользователей;
– обрабатывать информацию с ограничительной пометкой, превышающей заявленный при регистрации и разрешенный руководством компании;
– пытаться подменять функции администратора безопасности по перераспределению времени работы и прав доступа к ресурсам компьютера;
– покидать помещение с включенной ПЭВМ до окончания своей работы;
– разрешать другим пользователям производить в системе любые действия во время его сеанса работы;
– подключать (пытаться подключить) к ПЭВМ внешние устройства, не предусмотренные предписанием на эксплуатацию, или нарушить пломбы (печать) на корпусе ПЭВМ и других устройств, установленных на объекте;
– по окончании работы оставлять ПЭВМ включенной, оставлять в ней или на рабочем месте отчуждаемые носители или иные материалы, содержащие конфиденциальную информацию.
4.11. В целях предотвращения несанкционированного доступа посторонних лиц к ресурсам пользователя осуществляется периодическая (не реже одного раза в квартал) замена личного пароля пользователя. Замена личного пароля осуществляется пользователем самостоятельно. В случае отказа системы в идентификации пользователя либо не подтверждения личного пароля пользователь АС обязан немедленно обратиться к администратору безопасности АС.
4.12. Пользователь АС несет персональную ответственность за конфиденциальность своего пароля для входа в систему. В случае если пароль станет известным кому-либо еще кроме него пользователь АС обязан немедленно известить об этом администратора безопасности АС или ответственного за эксплуатацию данного объекта информатизации и своего руководителя.
4.13. Запрещается совместное хранение конфиденциальных и неконфиденциальных (общедоступных) сведений в одном каталоге на жестком диске ПЭВМ (на одном отчуждаемом машинном носителе).
Приложение
к руководству по защите информации
на объекте информатизации
АС «1С Предприятие 8.1»
ИНСТРУКЦИЯ
ПО ПРОВЕДЕНИЮ АНТИВИРУСНОГО КОНТРОЛЯ
НА ПЭВМ, ВХОДЯЩЕЙ В СОСТАВ АС «1С Предприятие 8.1»
1. Список используемых сокращений
АС | – автоматизированная система |
Объект | – объект информатизации АС |
ОС | – операционная система |
ОТСС | – основные технические средства и системы |
ПЭВМ | – персональная электронно–вычислительная машина, входящая в состав ОТСС |
СЗИ | – средство защиты информации |
НСД | – несанкционированный доступ |
Администрация | – Администрации Октябрьского административного округа города Омска |
1. Настоящая инструкция предназначена для администратора безопасности АС, ответственного за эксплуатацию Объекта и пользователей АС.
2. В целях обеспечения сохранности и целостности данных в АС вводится контроль за отсутствием в программной и информационной среде ПЭВМ компьютерных вирусов (антивирусный контроль).
3. К применению на ПЭВМ допускается лицензионный антивирусный комплект, указанный в списке разрешенного ПО, утвержденного руководителем.
4. На ПЭВМ запрещается установка любого ПО, не связанного с выполнением функций, предусмотренных технологическим процессом обработки информации.
5. Ответственность за поддержание установленного в настоящей инструкции порядка проведения антивирусного контроля возлагается на администратора безопасности АС, а в случае его отсутствия – на ответственного за эксплуатацию объекта в рамках его прав доступа.
6. Администратор безопасности АС обязан осуществлять периодическое (не реже одного раза в неделю) обновление антивирусных средств и баз, а также контроль их работоспособности.
7. Администратор безопасности обязан проводить периодическое (не реже одного раза в неделю) тестирование всего установленного программного обеспечения и информационных файлов на предмет отсутствия компьютерных вирусов.
8. При обнаружении компьютерного вируса администратор АС проводит лечение зараженных файлов с использованием штатных антивирусных средств, затем повторяет процедуру проверки (сканирования) программной среды (в т. ч. информационных файлов) и всех носителей, которые могли быть заражены.
9. В случае обнаружения на отчуждаемом носителе информации нового вируса, не поддающегося уничтожению или излечению, администратор безопасности АС запрещает использование этого носителя до появления антивирусных средств, позволяющих уничтожить новый вирус.
10. В случае обнаружения на жестком магнитном диске ПЭВМ нового вируса, не поддающегося уничтожению или излечению, администратор безопасности АС ставит в известность руководителя или его заместителя для принятия совместного решения о дальнейших действиях.
11. Пользователи АС перед началом работы с отчуждаемыми носителями информации (ГМД) обязаны проверить их на наличие (отсутствие) компьютерных вирусов.
12. Права на запуск антивирусных программ в режиме проверки должны быть предоставлены всем пользователям АС. Ярлык для запуска антивирусной программы должен быть вынесен на «рабочий стол» Windows.
13. При обнаружении компьютерного вируса пользователь АС обязан немедленно поставить в известность администратора безопасности АС (в случае его отсутствия – ответственного за эксплуатацию ОВТ) и прекратить работу на ПЭВМ.
Приложение
к руководству по защите информации
на объекте информатизации
АС «1С Предприятие 8.1»
ИНСТРУКЦИЯ
О ПОРЯДКЕ ТЕХНИЧЕСКОГО ОБСЛУЖИВАНИЯ, РЕМОНТА, МОДЕРНИЗАЦИИ ТЕХНИЧЕСКИХ СРЕДСТВ,
ВХОДЯЩИХ В СОСТАВ АС «1С Предприятие 8.1»
1. Список используемых сокращений
АС | – автоматизированная система |
Объект | – объект информатизации АС |
ОС | – операционная система |
ОТСС | – основные технические средства и системы |
ПЭВМ | – персональная электронно-вычислительная машина, входящая в состав ОТСС |
СЗИ | – средство защиты информации |
НСД | – несанкционированный доступ |
Администрация | – Администрации Октябрьского административного округа города Омска |
2. Общие положения
2.1. Настоящая инструкция определяет правила работ по техническому обслуживанию, ремонту, модернизации технических средств, входящих в состав АС, защищенной от НСД и предназначенной для обработки и хранения конфиденциальной информации.
2.2. Данные работы проводятся только с разрешения руководителя или лица, исполняющего его обязанности, после согласования с ответственным за эксплуатацию Объекта и администратором безопасности АС.
3. Порядок проведения работ по техническому обслуживанию, ремонту, модернизации
3.1. В случае, когда необходимо провести работы по техническому обслуживанию (ремонту, модернизации) технических средств, входящих в состав АС, ответственный за эксплуатацию объекта представляет служебную записку на имя начальника отдела ИТ, в которой:
– указывает название и номер ПЭВМ (технического средства, системы), техническое обслуживание (ремонт, модернизацию) которой необходимо провести и с какой целью;
– обосновывает необходимость технического обслуживания (модернизации);
– указывает планируемые место и сроки работ, режим их проведения;
– перечисляет меры безопасности, которые будут реализованы при техническом обслуживании (ремонте, модернизации) с целью недопущения доступа к конфиденциальной информации посторонних лиц.
3.2. Служебная записка согласовывается с руководителем или его заместителем.
3.3. В случае если для проведения работ необходимо привлекать лиц, не имеющих постоянного допуска к работе на ПЭВМ или в помещение, составляется список сотрудников, который утверждается руководителем или его заместителем.
Запрещается выносить ОТСС с территории здания компании без согласования с ответственным за эксплуатацию Объекта и разрешения руководителя.
3.4. Вскрытие печатей на корпусе ПЭВМ или других технических средств (систем) и последующее опечатывание производится комиссионно в присутствии ответственного за эксплуатацию объекта информатизации или администратора безопасности АС, о чём составляется акт.
В акте указывается:
– номер (название) помещения, в котором проводились работы,
– дата и время начала и окончания работ,
– лица, присутствовавшие при вскрытии и обслуживании (ремонте, модернизации),
– наличие, целостность и места размещения печатей (пломб, специальных защитных знаков) до вскрытия ПЭВМ (технического средства, системы),
– установленные неисправности,
– виды и результаты проведенных работ,
– замененные или отремонтированные узлы (детали), наличие на этих узлах специальных защитных знаков,
– какими печатями (пломбами и т. д.) и в каких местах ПЭВМ (устройство) опечатано по окончании работ,
– необходимость проведения дополнительной специальной проверки и специальных исследований (сертификации) ПЭВМ (технического средства, системы) или её отдельных узлов,
– иная необходимая для дальнейшей работы и обеспечения безопасности информация.
3.5. Если для ремонта (модернизации) ПЭВМ (другого технического средства, системы, узла ПЭВМ) необходимо направить в специализированную организацию комиссией составляется заключение.
3.6. Перед отправкой ПЭВМ (другого технического средства, системы, узла ПЭВМ) администратор безопасности АС обязан гарантировано удалить конфиденциальную информацию с жесткого диска и иных устройств памяти ПЭВМ (другого технического средства, системы) сертифицированными средствами, о чем он совместно с ответственным за эксплуатацию Объекта составляет акт. По запросу из специализированной организации копия акта передаётся и ей.
3.7. В случае если не имеется возможности гарантировано удалить конфиденциальную информацию с жесткого диска и иных устройств памяти ПЭВМ (другого технического средства, системы) сертифицированными средствами, эти устройства опечатываются и хранятся у ответственного за эксплуатацию Объекта с соблюдением требований, предъявляемым к хранению конфиденциальных документов.
3.8. Ремонт и замена жесткого диска производится с соблюдением требований п. № 3.5-3.7 настоящей инструкции в присутствии администратора безопасности АС. При диагностике и ремонте жесткого диска должны быть реализованы меры безопасности, исключающие несанкционированный доступ к хранящимся на нём данным.
