Сегодня все чаще и чаще компании сталкиваются с инцидентами в области компьютерной безопасности. Однако руководство многих компаний, несмотря на это все еще уповает на то, что для них эти атаки не актуальны. Почему такое происходит – сказать сложно, но это факт. На мой взгляд, это происходит в силу того, что руководители не понимают как можно украсть то, чего нельзя пощупать. Вместе с тем существует целый ряд компаний, руководители которых прекрасно понимают необходимость принятия мер для защиты своей информации. Именно для них и написана данная статья.
1. Используйте надежные пароли и регулярно их меняйте;
2. Остерегайтесь почтовых вложений и загружаемых из Интернета модулей;
3. Установите, поддерживайте и применяйте антивирусные программы;
4. Установите и используйте межсетевой экран;
5. Удаляйте неиспользуемые программы и учетные записи пользователей, надежно удаляйте все данные на выводимом из эксплуатации оборудовании;
6. Используйте средства физического контроля доступа ко всем вычислительным устройствам;
7. Создавайте архивные копии важных файлов, папок и программ;
8. Устанавливайте обновления для программного обеспечения;
9. Внедрите систему безопасности сети с контролем доступа;
10. Ограничивайте доступ к ценным и конфиденциальным данным;
11. Составьте и соблюдайте план управления рисками, связанными с безопасностью;
12. При необходимости обращайтесь за технической поддержкой к сторонним организациям.
Рекомендация 1. Используйте надежные пароли и регулярно их меняйте
Затраты: минимальные (дополнительные вложения не требуются)
Уровень технических навыков: низкий/средний
Участники: все пользователи компьютерной сети
Для чего это нужно?
Пароли – самый просто способ аутентификации (способа разграничения прав доступа к компьютерной сети, электронной почте и т.д.). Парольная защита — довольно простой метод разграничения доступа. Вместе с тем необходимо помнить, что надежные пароли (пароли, тяжело поддающиеся взлому) позволяют затруднить работу большинства взломщиков. Для многих компаний текучесть кадров является большой проблемой, вместе с тем это увеличивает необходимость регулярной смены паролей. Так как вы не уверены в стойкости вашего пароля, то меняйте его каждый месяц, причем учтите, что пароли должны удовлетворять требованиям сложности и не должны повторяться в течение 24 месяцев. Данное положение достаточно легко реализуется в организации, компьютерная сеть которой основана на применении доменов на основе ОС Windows.
Вместе с тем необходимо помнить, что для каждой используемой задачи пароли должны быть разными, т.е. пароль для входа в компьютерную сеть и для работы с базой данных должны быть разными. Ведь в противном случае взлом одного пароля позволит получить беспрепятственный доступ ко всем ресурсам.
Никогда не записывайте пароли и ни в коем случае не сообщайте их другим лицам!
Если же вы боитесь забыть пароль, храните его в сейфе.
Вместе с тем помните, что пользователи вашей сети будут забывать пароли и при усилении требований к их сложности и длине они просто начнут их записывать на листиках и вскоре пароли можно будет встретить где угодно! Т.е. на мониторах, листиках под клавиатурой, в ящиках стола и т.д.
Как этого избежать? Только введением средств многофакторной аппаратной аутентификации. Это же позволит решить целый ряд проблем, речь о которых пойдет впереди.
Вместе с тем необходимо помнить, что каждый пользователь в сети обязан иметь собственный идентификатор, что позволит его однозначно аутентифицировать и тем самым избежать проблем с обезличиванием персонала.
Ненадежные пароли дают ложное ощущение безопасности
Помните, что надежность парольной защиты весьма относительна. Пароли взламываются злоумышленниками методом подбора по словарю или прямого перебора. На взлом по словарю злоумышленнику требуются секунды. Если злоумышленник знает личную информацию о пользователе, пароль которого он пытается подобрать, например, имена супруги (супруга), детей, хобби, то диапазон поиска существенно сужается, и в первую очередь проверяются эти слова. Часто применяемые пользователями ухищрения типа замены буквы «о» на цифру «0» или буквы «a» на символ «@» или буквы «S» на цифру «5» не защищают пароль от взлома. Иногда к парольной фразе вначале или в конце дописываются цифры, однако это также слабо влияет на защиту. Поэтому приведем здесь краткие рекомендации по выбору пароля.
В первую очередь
Для затруднения взлома вашего пароля в первую очередь он должен быть сложным и содержать большие и маленькие буквы, цифры и специальные символы. Нельзя использовать словарные слова, имена и их незначительные изменения. Длина пароля должна составлять не менее 8 символов, а для сетей с выходом в Интернет – не менее 12. При этом длина пароля администратора должна составлять не менее 15 символов. Составляя пароль, используйте некие заранее придуманные шаблоны. Это позволит вам вспомнить пароль в случае необходимости, не записывая его на бумаге.
Создайте политику использования парольной защиты, в которой опишите ваши требования и ознакомьте с ее требованиями ваших сотрудников под роспись. Это приучит к порядку ваших сотрудников.
В особо ответственных случаях для организации парольной защиты используйте многофакторную аутентификацию на базе eToken или смарт-карт. Это существенно затруднит взлом.
Для доступа к ресурсам вашей сети из Интернет, например, для сотрудников, работающих из дома, используйте одноразовые пароли.
Дополнительные действия
Настройте в требованиях политик обязательную минимальную длину и уровень сложности политик. Вместе с тем не забудьте ограничить срок действия паролей, чтобы заставить пользователей соблюдать частоту смены паролей. Введите требование неповторяемости паролей (например, на протяжении 24 месяцев). Это позволит достичь уникальности паролей одного и того же пользователя на протяжении 2-х лет.
Рекомендация 2. Остерегайтесь почтовых вложений и модулей, загружаемых из Интернет
Затраты: минимальные (дополнительные вложения не требуются)
Уровень технических навыков: низкий/средний
Участники: все, кто пользуется Интернет
Зачем это нужно?
Сегодня одним из наиболее часто используемых методов распространения компьютерных вирусов является использование электронной почты и Интернет. В последнее время вирусы научились использовать адреса, получаемые из адресных книг. Поэтому даже получение писем с известных вам адресов больше не является гарантией того, что эти письма действительно отправлены этими людьми. Компаниям необходимо внедрить жесткие политики безопасности использования электронной почты и Интернет, в которых четко указывать, что можно и что нельзя загружать и открывать в корпоративных системах.
Любой автор программного обеспечения может распространять его с помощью Интернет или в виде вложений в электронные письма. Однако стоит помнить, что запуская неизвестную программу у себя на компьютере, вы становитесь заложником автора этой программы. Любое ваше действие доступно и этой программе. Т.е. она может читать, удалять, модифицировать и копировать любую вашу информацию. Тем самым доступ к вашему компьютеру может получить и злоумышленник.
Что может произойти в результате вашей невнимательности?
Стоит помнить, что тексты электронной почты, вложения и загружаемые модули являются прекрасным средством для передачи вредоносного кода. Открывая почтовое вложение или соглашаясь на установку исполнимого кода, вы копируете некий программный код в вашу среду (иногда в папку временных файлов). Это может привести к атаке вашей системы через имеющиеся уязвимости.
Учтите, что если ваш компьютер будет заражен, весьма вероятно, что ваши партнеры по переписке получат от вас почтовое сообщение с вложением, которое будет атаковать их системы. Это может привести к полной остановке сети.
Если не принять предупредительных мер, то на ваш компьютер можно будет загрузить некое троянское приложение (троянский конь), который сможет отследить используемые вами пароли, переслать по определенному адресу вашу конфиденциальную информацию и т.д. Что делать?
В первую очередь
Опишите требования к безопасности использования электронной почты и Интернет в соответствующих политиках.
Приучите пользователей к тому, что запрещено выполнять следующие операции:
1. Использовать функцию предварительного просмотра почтового сообщения.
2. Открывать вложения, которые антивирусное приложение считает вредоносными.
3. Открывать почтовые сообщения от незнакомых людей (следует их просто удалять), особенно если поле «Тема»:
a. Пустое либо содержит бессмысленный набор букв и цифр;
b. Содержит сообщение о победе на конкурсе, в котором вы не участвовали либо о причитающихся вам деньгах;
c. Содержит описание продукта, который может вам понравиться;
d. Содержит уведомление о проблеме с инструкциями по установке программного обеспечения на вашем компьютере;
e. Содержит уведомление об ошибке в накладной или счете, но вы не пользуетесь данной услугой.
4. Если вы знаете отправителя или решили открыть почтовое сообщение, убедитесь, что содержимое, а также название вложений и текст в строке темы сообщения звучат осмысленно.
Дополнительные действия
1. Настройте веб-обозреватель таким образом, чтобы он уведомлял вас о загрузке модулей из Интернет (это сделано по умолчанию в Internet Explorer 7.0).
2. Удаляйте и никогда не пересылайте электронные «письма счастья».
3. Никогда не пользуйтесь функцией отмены подписки на услуги, которые вы не запрашивали (это даст злоумышленнику понять, что электронный адрес активен и позволит более активно атаковать вас).
4. Отключите Java-сценарии и элементы управления ActiveX в настройках веб-обозревателя и включайте их временно только для определенных доверенных страниц.
5. Принимая решение о приобретении программного обеспечения, убедитесь в наличии четкого описания программы и выполняемых ею функций, а также проверьте надежность источника информации.
Рекомендация 3. Установите, поддерживайте и применяйте антивирусные программы
Затраты : низкие/средние (в зависимости от количества и типов необходимых лицензий)
Уровень технических навыков : низкий/средний, в зависимости от выбранного подхода
Участники : все, кто пользуется электронными устройствами
Зачем это нужно?
В настоящее время сложно кого-либо удивить необходимостью установки антивирусного ПО. Количество уязвимостей, используемых вредоносным ПО, по данным Microsoft, удваивается ежегодно.
Пути проникновения вирусов в вашу систему могут быть различными: с помощью дискет, флеш-дисков, компакт-дисков, в виде вложения в почтовое сообщение, при загрузке с веб-узла или в виде зараженного загружаемого файла. Поэтому, вставляя сменный носитель, принимая электронную почту или загружая файл, необходимо проводить проверку на наличие вирусов.
Как работают антивирусные программы?
Из всех методов антивирусной защиты можно выделить две основные группы:
1. Сигнатурные методы — точные методы обнаружения вирусов, основанные на сравнении файла с известными образцами вирусов.
2. Эвристические методы — приблизительные методы обнаружения, которые позволяют с определенной вероятностью предположить, что файл заражен.
Сигнатурный анализ
Слово сигнатура в данном случае является калькой на английское signature, означающее «подпись» или же в переносном смысле «характерная черта, нечто идентифицирующее». Собственно, этим все сказано. Сигнатурный анализ заключается в выявлении характерных идентифицирующих черт каждого вируса и поиска вирусов путем сравнения файлов с выявленными чертами.
Сигнатурой вируса будет считаться совокупность черт, позволяющих однозначно идентифицировать наличие вируса в файле (включая случаи, когда файл целиком является вирусом). Все вместе сигнатуры известных вирусов составляют антивирусную базу.
Важное дополнительное свойство сигнатур — точное и гарантированное определение типа вируса. Это свойство позволяет занести в базу не только сами сигнатуры, но и способы лечения вируса. Если бы сигнатурный анализ давал только ответ на вопрос, есть вирус или нет, но не давал ответа, что это за вирус, очевидно, лечение было бы невозможно — слишком большим был бы риск совершить не те действия и вместо лечения получить дополнительные потери информации.
Другое важное, но уже отрицательное свойство — для получения сигнатуры необходимо иметь образец вируса. Следовательно, сигнатурный метод непригоден для защиты от новых вирусов, т. к. до тех пор, пока вирус не попал на анализ к экспертам, создать его сигнатуру невозможно. Именно поэтому все наиболее крупные эпидемии вызываются новыми вирусами.
Эвристический анализ
Слово «эвристика» происходит от греческого глагола «находить». Суть эвристических методов состоит в том, что решение проблемы основывается на некоторых правдоподобных предположениях, а не на строгих выводах из имеющихся фактов и предпосылок.
Если сигнатурный метод основан на выделении характерных признаков вируса и поиске этих признаков в проверяемых файлах, то эвристический анализ основывается на (весьма правдоподобном) предположении, что новые вирусы часто оказываются похожи на какие-либо из уже известных.
Положительным эффектом от использования этого метода является возможность обнаружить новые вирусы еще до того, как для них будут выделены сигнатуры.
Отрицательные стороны:
· Вероятность ошибочно определить наличие в файле вируса, когда на самом деле файл чист — такие события называются ложными срабатываниями.
· Невозможность лечения — и в силу возможных ложных срабатываний, и в силу возможного неточного определения типа вируса, попытка лечения может привести к большим потерям информации, чем сам вирус, а это недопустимо.
· Низкая эффективность — против действительно новаторских вирусов, вызывающих наиболее масштабные эпидемии, этот вид эвристического анализа малопригоден.
Поиск вирусов, выполняющих подозрительные действия
Другой метод, основанный на эвристике, исходит из предположения, что вредоносные программы так или иначе стремятся нанести вред компьютеру. Метод основан на выделении основных вредоносных действий, таких как, например:
· Удаление файла.
· Запись в файл.
· Запись в определенные области системного реестра.
· Открытие порта на прослушивание.
· Перехват данных, вводимых с клавиатуры.
Преимуществом описанного метода является возможность обнаруживать неизвестные ранее вредоносные программы, даже если они не очень похожи на уже известные.
Отрицательные черты те же, что и раньше:
· Невозможность лечения
· Невысокая эффективность
Дополнительные средства
Практически любой антивирус сегодня использует все известные методы обнаружения вирусов. Но одних средств обнаружения мало для успешной работы антивируса. Для того, чтобы чисто антивирусные средства были эффективными, нужны дополнительные модули, выполняющие вспомогательные функции, например, регулярное обновление антивирусных баз сигнатур.
Что делать?
В первую очередь
1. Установите антивирусные программы на всех узлах вашей сети (шлюзы Интернет, почтовые сервера, сервера баз данных, файловые сервера, рабочие станции).
3. Ежегодно продляйте лицензию на установленные антивирусы (для того чтобы иметь возможность обновлять файлы сигнатур).
4. Создайте политику защиты от вредоносного ПО.
5. Создайте инструкции для пользователей и администраторов систем.
Дополнительные действия
1. На всех компьютерах настройте антивирусную защиту.
2. Создайте систему управления корпоративным антивирусом из единой точки управления.
3. Регулярно (достаточно один раз в неделю) запускайте антивирусный сканер для проверки всех файлов.
Затраты: умеренные
Уровень технических навыков: умеренный/высокий, в зависимости от выбранного подхода
Участники:
Зачем это нужно?
Межсетевой экран практически исполняет роль охранной системы при входе в здание. Он проверяет входящие из Интернет и исходящие в Интернет сведения и определяет, будут ли эти сведения доставлены получателю или же будут остановлены. Может существенно сократить объем попадающих в систему нежелательных и вредоносных сообщений. Но, вместе с тем, стоит понимать, что на его настройку и обслуживание необходимы время и усилия. Кроме того, он пресекает различные формы нежелательного доступа к вашей сети.
Самое сложное при настройке межсетевого экрана – определить правила его настройки, т.е. указать, что может поступать в сеть (покидать сеть). Ведь если полностью запретить прием и отправку данных (стратегия запретить все) , то это будет означать прекращение связи с Интернет. Такая стратегия вряд ли допустима в большинстве компаний, поэтому необходимо выполнить ряд дополнительных действий по настройке межсетевого экрана.
Что происходит, когда нет межсетевого экрана?
Если у вас нет межсетевого экрана, который проверяет входящие и исходящие данные, защита всей вашей сети зависит лишь от желания и умения каждого из пользователей следовать правилам работы с электронной почтой и загрузкой файлов. В случае же использования высокоскоростного подключения к Интернет вы будете зависеть, кроме того, еще и от других пользователей сети. При отсутствии межсетевого экрана ничего не помешает злоумышленнику изучить уязвимости ОС на каждом из компьютеров и атаковать их в любое время.
Что делать?
В первую очередь
Установите межсетевой экран на точке доступа в Интернет. Объясните сотрудникам необходимость его применения. Ведь в процессе разработки его правил возможно чрезмерное блокирование, которое усложнит пользование.
Дополнительные действия
1. Примените политику безопасности на основе правил межсетевого экрана.
2. Предусмотрите возможность пересмотра и корректировки политики в необходимых случаях.
3. Создайте механизм мониторинга и корректировки правил с учетом потребностей компании.
Рекомендация 5. Удаляйте неиспользуемые программы и учетные записи пользователей, уничтожайте все данные на выводимом из эксплуатации оборудовании
Затраты: низкие/средние
Уровень технических навыков: низкий/средний
Участники: специалисты по технической поддержке
Зачем это нужно?
Следует учитывать, что поставляемые компьютерные системы поддерживают большое количество функций, многие из которых никогда не будут вами использоваться. Более того, поскольку процесс установки оптимизирован с точки зрения простоты, а не безопасности, то часто активизированы функции, использование которых представляет серьезную опасность для системы, например, удаленное управление или удаленный обмен файлами.
Следует предусмотреть отключение и удаление неиспользуемого программного обеспечения, чтобы злоумышленник не мог организовать через него атаку.
Т.е. сотрудникам отдела технической поддержки необходимо настроить инсталляционную копию операционной системы, устанавливаемой на рабочие станции таким образом, чтобы удалить неиспользуемые функции ОС еще на этапе инсталляции. Процесс создания необходимой копии ОС необходимо оговорить в принимаемом документе.
Вместе с тем нельзя забывать, что поскольку каждый пользователь имеет собственную уникальную учетную запись, ограничивающую доступ к данным и программам, необходимым для выполнения поставленных задач, то в случае увольнения сотрудника или перехода его на другую должность его права нужно отменить (удалить соответствующую учетную запись) или изменить в соответствии с новыми служебными обязанностями.
Для этого необходимо обязать службу управления кадрами подавать списки увольняемых (перемещаемых) сотрудников в службу ИТ и службу информационной безопасности (ИБ) в течение одного рабочего дня после соответствующего приказа. А в случае увольнения (перемещения) системного администратора или администратора ИБ – не позднее 1 часа после соответствующего приказа. Это позволит существенно снизить возможность нанесения вреда компании.
Следует также помнить, что в настоящее время на жестких дисках рабочих станций, а уж тем более серверов, хранится огромный объем информации. Любой желающий может извлечь эти данные, получив доступ к жесткому диску посредством другого компьютера, и тем самым нанести непоправимый вред вашей компании. В случае передачи, продажи, утилизации, ремонта оборудования в условиях посторонней организации (например, гарантийный ремонт) вам необходимо обеспечить невосстановимое стирание всего дискового пространства, для предотвращения утечки конфиденциальной информации. При этом возможно два пути – использование программных средств невосстановимого стирания или аппаратных средств.
Почему нельзя оставить неиспользуемое программное обеспечение?
Неиспользуемое ПО и учетные записи могут быть использованы злоумышленником для атаки на вашу систему или для использования вашей системы для проведения последующих атак. Стоит помнить, что доступом к компьютеру нужно управлять очень тщательно. Ведь потеря конфиденциальных данных для компании может привести к крупным финансовым потерям и даже банкротству. Если неиспользуемые данные принадлежат бывшим сотрудникам вашей компании, то, получив доступ к системе, они могут быть в курсе всех ваших дел, нанести ущерб вашей компании, разгласив или модифицировав важные данные. Более того, в практике автора были случаи, когда атаку под видом уволенного сотрудника проводили действующие сотрудники компании.
В случае же ремонта (обновления) оборудования стоит помнить, что хранящиеся на нем данные без использования специальных средств невосстановимого стирания никуда не исчезают. Существует целый класс программного обеспечения, позволяющего восстанавливать удаленные данные с жестких дисков.
Что делать?
В первую очередь
1. Удаляйте учетные записи уволенных сотрудников. Перед сообщением человеку о том, что он будет уволен, заблокируйте его доступ к компьютеру и следите за ним, пока он находится на территории компании.
2. Установите правило, запрещающее установку ненужного ПО на рабочих компьютерах.
3. Предусмотрите политику удаления данных с жестких дисков компьютеров, которые перепрофилируются, утилизируются, передаются, реализуются, сдаются в ремонт.
Дополнительные действия
1. Удалите неиспользуемые программы и приложения.
2. Заведите формуляры компьютеров (рабочих станций и серверов), в которые записывайте устанавливаемое ПО, цель установки и кто произвел установку.
Рекомендация 6. Используйте средства физического контроля доступа ко всем вычислительным устройствам
Затраты: минимальные
Уровень технических навыков: низкий/средний
Участники: все, кто пользуется электронными устройствами
Зачем это нужно?
Независимо от того, насколько надежна ваша система безопасности, используете вы простые пароли или сложные, если у кого-то есть физический доступ к вашему компьютеру, значит он сможет прочесть, удалить или модифицировать находящуюся на нем информацию. Нельзя оставлять компьютеры без присмотра.
Уборщики, обслуживающий персонал, члены семьи сотрудника могут неумышленно (либо умышленно) загрузить вредоносный код либо модифицировать данные или настройки компьютера.
Если существуют активные, но не используемые сетевые разъемы в офисе, конференц-зале или любом другом помещении, значит любой человек сможет подключиться к сети и выполнить в ней несанкционированный действия.
Если вы используете беспроводные технологии, то позаботьтесь об устойчивом шифровании сети, чтобы посторонний человек не смог подключиться к вашей сети, ведь в таком случае он даже не должен заходить физически в ваш офис.
Если в вашей организации используются переносные компьютеры (ноутбуки, КПК, смартфоны) позаботьтесь о шифровании мобильных носителей, ведь на сегодня более 10% таких устройств просто воруется, а порядка 20% – элементарно теряются пользователями.
Потеря физического контроля как потеря безопасности
Следует учесть, что любой человек, обладающий физическим доступом к вашему компьютеру, может обойти средства безопасности, установленные на нем, и нанести непоправимый ущерб вашей организации. Следовательно, большое внимание необходимо уделять физической безопасности ваших устройств.
Что делать?
В первую очередь
Внедрите политику допустимого использования компьютеров, предусматривающую следующее:
1. Оставляя компьютер без присмотра даже на короткое время, выходите из системы или блокируйте экран.
2. Установите ответственных пользователей за доступ к компьютерам и вынос оборудования за пределы компании.
3. Ограничьте использование рабочих компьютеров только служебными целями.
4. Запретите использование личных компьютеров (ноутбуков, КПК, смартфонов) в корпоративной сети.
5. Установите ответственность пользователей в случае нарушения правил использования компьютеров.
6. Все используемое компьютерное оборудование должно быть надежно защищено от всплесков пропадания электропитания.
7. Храните неиспользуемое оборудование под замком и установите процедуру его выдачи только под расписку ответственного сотрудника.
8. Проинформируйте сотрудников о принятой политике и время от времени проверяйте ее выполнение.
Дополнительные действия
1. Закрывайте пустые офисы и конференц-залы, в которых имеются активные сетевые разъемы.
Рекомендация 7. Создавайте архивные копии важных файлов, папок и программ
Затраты: умеренные/высокие (в зависимости от уровня автоматизации и сложности выбранных средств)
Уровень технических навыков: средний/высокий
Участники: специалисты по технической поддержке и пользователи (если пользователи обязаны самостоятельно архивировать свои данные)
Зачем это нужно?
Сможете ли вы продолжать эффективно работать, если злоумышленнику удастся повредить настройки ваших систем? Или уничтожить хранящуюся информацию? Если произойдет непредвиденный сбой системы?
В таком случае наиболее эффективным способом будет восстановление данных из архивной копии.
Для создания такой копии вам потребуется создать источник для возможного восстановления системы в случае необходимости. Выполнять создание такой копии лучше воспользовавшись специализированным ПО.
Следует помнить, что резервные копии необходимо создавать при каждом изменении исходных данных. Выберите подходящий вам вариант с учетом затрат (время, оборудование, покупка необходимого ПО), наличия времени на проведение резервного копирования, требуемого времени на проведение процесса восстановления оригинальных копий из резервных.
Следует предусмотреть хранение резервных копий в надежном месте, по возможности вне офиса, в другом здании, чтобы избежать возможного уничтожения их вместе с оригиналом. Вместе с тем нельзя забывать о физической безопасности резервных копий как в процессе доставки их к месту хранения, так и физической безопасности самого места хранения.
Если архивных копий нет
Поскольку абсолютной защиты не существует, то весьма вероятно, что атака на вашу организацию может быть успешной и злоумышленнику (вирусу) удастся нанести вред вашей компьютерной сети или какая-то часть вашего оборудования может быть разрушена вследствие стихийного бедствия. Без средств восстановления (или при неправильной настройке таковых) вам потребуется множество времени и денег для восстановления системы (впрочем, конечно же, это при условии, что вам удастся ее восстановить, что вовсе не очевидно).
В первую очередь
1. Создайте график проведения резервного копирования. Создавая его, учтите, что все изменения, прошедшие от момента создания резервной копии до времени восстановления, вам придется восстанавливать вручную.
2. Храните резервные копии на протяжении достаточно длинного периода времени, чтобы можно было устранить проблемы, выявленные с опозданием.
3. Время от времени тестируйте процесс архивации и проверяйте процесс восстановления.
4. Создайте план работы в случае чрезвычайной ситуации.
5. Время от времени устраивайте проверку работы сотрудников в случае чрезвычайной ситуации и знание ими своих обязанностей.
Дополнительные действия
1. Максимально автоматизируйте процесс архивации.
2. Убедитесь, что в процессе создания резервной копии регистрируется время и дата.
3. Создавайте копии на различных носителях.
4. Проверяйте процесс создания резервных копий, восстанавливая и контролируя корректность восстановленных данных.
.
Рекомендация 8. Устанавливайте обновления для программного обеспечения
Затраты: умеренные - плата за обслуживание программного обеспечения плюс время, затрачиваемое персоналом на установку и проверку
Уровень технических навыков: средний/высокий
Участники: специалисты по технической поддержке
Зачем это нужно?
Для улучшения программного обеспечения или исправления ошибок поставщики регулярно выпускают обновления (исправления). Многие из этих обновлений предназначены для устранения так называемых уязвимостей программного обеспечения, которые могут быть использованы злоумышленниками. Регулярная установка таких обновлений позволяет свести к минимуму возможности использования уязвимостей для нанесения ущерба вашей организации.
В основном, бесплатные обновления предлагаются с веб-узла соответствующего поставщика ПО. Для уведомления о выходе обновлений рекомендуется подписаться на бесплатную рассылку у соответствующего поставщика.
Кроме того, следует знать, что вполне вероятна ситуация, при которой обновление, закрывая одну уязвимость, порождает другую.
Устанавливая обновления, стоит помнить о необходимости их тестирования до установки.
Если не устанавливать обновления
Следует помнить, что любое программное обеспечение пишут люди, а людям свойственно ошибаться! Следовательно, любое ПО содержит ошибки. Не устанавливая обновлений, вы рискуете не устранить уязвимости, уже выявленные другими людьми и успешно используемые злоумышленниками и написанным ими вредоносным ПО. Чем дольше вы не устанавливаете обновления, тем выше вероятность, что рано или поздно злоумышленники используют не устраненные вами уязвимости для атаки на вашу систему.
Что делать?
В первую очередь
Приобретая программное обеспечение, обратите внимание, как предоставляются обновления. Узнайте, осуществляется ли техническая поддержка. Если обновления не предоставляются, узнайте, как производится переход на новую версию и когда ее ждать.
Как можно быстрее обновляйте операционные системы и коммуникационное ПО. Подпишитесь на службу рассылки уведомлений.
Дополнительные действия
Некоторые разработчики ПО предлагают программное обеспечение, которое само следит за актуальностью обновлений. Такое ПО обладает функцией проверки, загрузки и установки обновлений. Вместе с тем нельзя забывать, что вначале нужно протестировать представленное обновление, а уж затем его устанавливать.
Рекомендация 9. Внедрите систему безопасности сети с контролем доступа
Затраты:
Уровень технических навыков: умеренный/высокий
Участники: специалисты службы поддержки и все пользователи сети
Зачем это нужно?
Хорошая система защиты информации включает в себя защиту доступа ко всем сетевым компонентам, включая межсетевые экраны, маршрутизаторы, коммутаторы и подключенные рабочие станции.
Исходя из того, что все это еще и разбросано территориально, обеспечить контроль за всем этим оборудованием и программным обеспечением – тяжелая задача.
Дополнительные сведения
Чрезвычайно важно иметь надежный контроль доступа в случае использования беспроводных сетей. Совсем несложно получить доступ к незащищенной беспроводной сети и подвергнуть опасности всю организацию.
Использование удаленного доступа к сети организации должно тщательно контролироваться, так как бесконтрольное использование таких точек доступа приведет к взлому сети всей организации.
Что происходит, когда надежная защита сети не обеспечена?
Если надежная защита не обеспечена, несложно понять, что такая сеть будет взломана на протяжении нескольких часов или минут, особенно если доступ к Интернет предоставляется с помощью высокоскоростного соединения. В свою очередь взломанное устройство будет представлять собой опасность для всей остальной сети, так как оно будет использовано для последующей атаки на всю сеть.
Стоит помнить, что наибольшую опасность представляют не внешние, а внутренние взломщики, т.е. злоумышленники из числа персонала. Если безопасность поставлена из рук вон плохо и ею никто всерьез не занимается, то сотрудники могут взломать компьютеры своих коллег, ведь средств для этого в Интернет достаточно.
Что делать?
В первую очередь
1. Ограничить доступ к компонентам, чтобы защитить их от несанкционированного доступа и повреждения;
2. Реализовать процедуру аутентификации на основе надежной парольной защиты;
3. Отключить на каждом компьютере функции совместного использования файлов и принтеров;
4. Провести инструктаж с сотрудниками об отключении компьютеров при их неиспользовании;
5. Предоставить доступ к устройствам защиты сети только тем сотрудникам, которые отвечают за их обслуживание и поддержку;
6. Требовать проходить проверку подлинности при беспроводном и удаленном соединении.
Дополнительные действия
1. Проанализируйте возможность внедрения средств строгой аутентификации (смарт-карт, одноразовых аппаратных паролей, eToken и т.д.) для организации удаленного доступа к ключевым компонентам сети.
2. Научите сотрудников использовать данные устройства.
3. Организуйте мониторинг вторжений, чтобы обеспечить надлежащее использование сети.
Рекомендация 10. Ограничивайте доступ к ценным и конфиденциальным данным
Затраты: умеренные/высокие, в зависимости от выбранного варианта
Уровень технических навыков: умеренный/высокий
Участники: специалисты по технической поддержке
Зачем это нужно?
Поскольку мы не можем надеяться на соблюдение сотрудниками всех установленных правил, то обязаны следить за их поведением и не давать лишний повод нарушить инструкции.
Что это значит в нашем случае?
1. Электронная почта просматривается только теми лицами, кому она адресована;
2. Доступ к файлам и базам данных предоставляется только тем, кто обладает соответствующими полномочиями, причем не более того, что им нужно для выполнения работы.
А раз так, то, следовательно, мы должны контролировать просмотр и использование информации можно с помощью соответствующих списков доступа.
Если вы не можете жестко контролировать доступ к данным, то такие данные необходимо шифровать. При этом механизм шифрования должен быть достаточно сложным, чтобы максимально затруднить взлом шифра.
Что делать?
В первую очередь
1. Объясните сотрудникам необходимость осторожности при пересылке конфиденциальных данных по электронным каналам;
2. При тестировании не используйте реальных данных;
3. Не используйте общедоступные ПК для получения доступа к конфиденциальной информации;
4. Не раскрывайте личные и финансовые данные на малоизвестных сайтах.
Рекомендация 11. Составьте и соблюдайте план управления рисками, связанными с безопасностью
Затраты: умеренные, методология управления рисками доступна бесплатно
Уровень технических навыков: низкий/умеренный
Участники: представители всех уровней компании и специалисты службы поддержки
Для чего это нужно?
Для того чтобы защита вашей информации была действительно эффективной, безопасность должна быть последовательно внедрена во всей организации. Необходимо понимать, что внедрение самых строгих технических мер контроля не является панацеей. Необходимо комплексное внедрение организационных и технических мер защиты. А лучшим решением является внедрение плана управления рисками безопасности.
При этом процесс планирования должен включать следующее:
1. Обучение и информирование пользователей о проблемах безопасности;
2. Политики и правила безопасности;
3. Совместные мероприятия по безопасности (партнеры, подрядчики, сторонние компании);
4. Политику непрерывности бизнеса;
5. Физическую безопасность;
6. Безопасность сети;
7. Безопасность данных.
В повседневной деятельности не сложно упустить из вида такие мероприятия, как обучение сотрудников правилам соблюдения безопасности, планирование непрерывности бизнеса. Однако необходимо понимать, что ваша компания зависит от информационных технологий в гораздо большей степени, чем вы себе представляете.
Что происходит в отсутствие плана управления рисками, связанными с безопасностью?
Если у вас нет четкого плана управления рисками, то на все инциденты безопасности вы вынуждены реагировать постфактум. Все ваши меры будут сводиться лишь к латанию дыр.
Что делать?
В первую очередь
Создайте и проанализируйте план на случай возникновения чрезвычайной ситуации:
1. Определите самые главные угрозы вашей организации.
2. Проанализируйте воздействие естественных угроз (наводнение, ураган, длительное отсутствие электроэнергии).
Дополнительные действия
1. Определите ваши технологические активы;
2. Определите угрозы для этих активов;
3. Разработайте план безопасности.
Рекомендация 12. При необходимости обращайтесь за технической поддержкой и сторонней помощью
Затраты: низкие/высокие, в зависимости от требуемых услуг
Уровень технических навыков: средний/высокий
Участники: руководство компании и специалисты по технической поддержке
Обращайтесь за необходимой помощью
Защиту информации нельзя строить методом проб и ошибок. Безопасность – динамичный процесс, который не прощает ошибок. Кроме того, стоит понимать, что создание системы защиты информации – непрерывный процесс, построение которого нельзя доверять дилетантам.
Необходимо тщательно рассматривать кандидатуры на должности связанные с защитой информации. Лица, занимающиеся вопросами безопасности не должны вызывать ни малейших сомнений. Требуйте, чтобы они смогли вам показать, как принятые ими меры могут защитить вашу компанию от атак.
Что делать?
В первую очередь
Если вы собираетесь обратиться за внешней поддержкой, обратите внимание на следующее:
1. Опыт работы.
4. Как долго компания занимается этим бизнесом.
5. Кто конкретно из специалистов будет с вами работать.
6. Их квалификация, наличие сертификатов.
7. Как предоставляется поддержка.
8. Как контролируется внешний доступ.
Дополнительные действия
Не реже одного раза в год проводите аудит своей службы безопасности (внешний или внутренний).
Заключение
Хотелось бы верить, что эти советы смогут помочь вам в нелегком деле защиты информации. Стоит понимать, что ни один человек не в состоянии дать вам исчерпывающие рекомендации. Защита информации непрерывный процесс и доверять его создание необходимо профессионалам.
Инструкция пользователя по компьютерной безопасности Государственного бюджетного общеобразовательного учреждения Самарской области средней общеобразовательной школы с. Каменный Брод муниципального района Челно-Вершинский Самарской области
С целью обеспечения компьютерной безопасности пользователь обязан:
1. Установить последние обновления операционной системы Windows (http://windowsupdate.microsoft.com)
2. Включить режим автоматической загрузки обновлений. (Пуск- > Настройка - > панель управления - > Автоматически загружать и устанавливать на компьютер рекомендуемые обновления).
3. Скачать с сайта www.microsoft.com программное обеспечение Windows Defender и установить на все компьютеры. Включить режим автоматической проверки. Включить режим проверки по расписанию каждый день.
4. Активировать встроенный брандмауэр Windows (Пуск -> Настройка ->панель управления - > брандмауэр Windows - > включить).
5. Установить антивирусное программное обеспечение на каждый компьютер. Включить режим автоматического сканирования файловой системы. Включить режим ежедневной автоматической проверки всей файловой системы при включении компьютера. Активировать функцию ежедневного автоматического обновления антивирусных баз.
6. Ежедневно проверять состояние антивирусного программного обеспечения, а именно:
6.1. обеспечить постоянное включение режима автоматической защиты;
6.2. дата обновления антивирусных баз не должна отличаться более чем на несколько дней от текущей даты;
6.3. просматривать журналы ежедневных антивирусных проверок;
6.4. контролировать удаление вирусов при их появлении.
7. Не реже одного раза в месяц посещать сайт http://windowsupdate.microsoft.com и проверять, установлены ли последние обновления операционной системы.
8. Быть крайне осторожным при работе с электронной почтой. Категорически запрещается открывать присоединенные к письмам, полученным от незнакомых лиц, файлы.
9. Контролировать посещение Интернет сайтов пользователями. Не допускать посещения т.н. «хакерских», порно и других сайтов с потенциально вредоносным содержанием.
10. В обязательном порядке проверять антивирусным программным обеспечением любые внешние носители информации перед началом работы с ними.
11. При появлении признаков нестандартной работы компьютера («тормозит», на экране появляются и исчезают окна, сообщения, изображения, самостоятельно запускаются программы и т.п.) немедленно отключить компьютер от внутренней сети, загрузить компьютер с внешнего загрузочного диска (CD, DVD) и произвести полную антивирусную проверку всех дисков компьютера. При появлении аналогичных признаков после проделанной процедуры переустановить операционную систему с форматированием системного раздела диска.
Инструкция пользователя по обеспечению информационной безопасности.
1. Общие положения
1.1. Настоящая Инструкция определяет основные обязанности и ответственность пользователя, допущенного к обработке конфиденциальной информации.
1.2. Пользователь при выполнении работ в пределах своих функциональных обязанностей, обеспечивает безопасность конфиденциальной информации и несет персональную ответственность за соблюдение требований руководящих документов по защите информации.
2. Основные обязанности пользователя:
2.1. Выполнять общие требования по обеспечению режима конфиденциальности проводимых работ, установленные законодательством РФ, внутренними документами организации и настоящей Инструкцией.
2.2. При работе с конфиденциальной информацией располагать во время работы экран видео монитора так, чтобы исключалась возможность просмотра отображаемой на нем информации посторонними лицами.
2.3. Соблюдать правила работы со средствами защиты информации и установленный режим разграничения доступа к техническим средствам, программам, базам данных, файлам и другим носителям конфиденциальной информацией при ее обработке.
2.4. После окончания обработки конфиденциальной информации в рамках выполнения одного задания, а также по окончании рабочего дня, произвести стирание остаточной информации с жесткого диска персонального компьютера.
2.5. В случае выявления инцидентов информационной безопасности (фактов или попыток несанкционированного доступа к информации, обрабатываемой в персональном компьютере или без использования средств автоматизации ) немедленно сообщить об этом в Департамент экономической безопасности, по требованию руководителя подразделения написать служебную записку на имя руководителя подразделения и принять участие в служебной проверке по данному инциденту.
2.6. Самостоятельно не устанавливать на персональный компьютер какие-либо аппаратные или программные средства.
2.7. Знать штатные режимы работы программного обеспечения, основные пути проникновения и распространения компьютерных вирусов.
2.9. Помнить личные пароли и персональные идентификаторы, хранить их в тайне, не оставлять без присмотра носители, их содержащие, и хранить в запирающемся ящике стола или сейфе. С установленной периодичностью менять свой пароль (пароли ).
2.10. При применении внешних носителей информации перед началом работы провести их проверку на предмет наличия компьютерных вирусов средствами персонального компьютера.
2.11. Знать и строго выполнять правила работы с установленными на его персональном компьютере средствами защиты информации (антивирус, средства разграничения доступа, средства криптографической защиты и т.п. ) в соответствии с технической документацией на эти средства.
2.12. Передавать для хранения установленным порядком свое индивидуальное устройство идентификации (Touch Memory , Smart Card , Proximity и т.п. ), другие реквизиты разграничения доступа и носители ключевой информации только руководителю подразделения или ответственному за информационную безопасность.
2.13. Надежно хранить и никому не передавать личную печать.
2.14. Немедленно ставить в известность Департамент экономической безопасности и руководителя подразделения при обнаружении:
- нарушений целостности пломб (наклеек, нарушении или несоответствии номеров печатей ) на аппаратных средствах или иных фактов совершения в его отсутствие попыток несанкционированного доступа к закрепленной за ним защищенном персональном компьютере;
- некорректного функционирования установленных на персональный компьютер технических средств защиты;
- отклонений в нормальной работе системных и прикладных программных средств, затрудняющих эксплуатацию персонального компьютера, выхода из строя или неустойчивого функционирования узлов персонального компьютера или периферийных устройств (дисководов, принтера и т.п. ), а также перебоев в системе электроснабжения.
2.15. По завершении работ по изменению аппаратно-программной конфигурации, закрепленной за ним персонального компьютера проверять его работоспособность.
3. Обеспечение антивирусной безопасности
3.1.Основными путями проникновения вирусов в информационно-вычислительную сеть организации являются: съемные носители информации, электронная почта, файлы, получаемые из сети Интернет, ранее зараженные персональные компьютеры.
3.2. При возникновении подозрения на наличие компьютерного вируса (сообщение антивирусной программы, нетипичная работа программ, появление графических и звуковых эффектов, искажений данных, пропадание файлов, частое появление сообщений о системных ошибках и т.п. ) пользователь должен провести внеочередной антивирусный контроль персонального компьютера.
3.3. В случае обнаружения при проведении антивирусной проверки зараженных компьютерными вирусами файлов пользователь ОБЯЗАН:
- прекратить (приостановить ) работу;
- немедленно поставить в известность о факте обнаружения зараженных вирусом файлов своего непосредственного руководителя, ответственного за информационную безопасность, а также смежные подразделения, использующие эти файлы в работе;
- оценить необходимость дальнейшего использования файлов, зараженных вирусом;
- провести лечение или уничтожение зараженных файлов (при необходимости для выполнения требований данного пункта следует привлечь администратора системы ).
3.4. Пользователю ЗАПРЕЩАЕТСЯ:
- отключать средства антивирусной защиты информации;
- без разрешения копировать любые файлы, устанавливать и использовать любое программное обеспечение, не предназначенное для выполнения служебных задач.
4. Обеспечение безопасности персональных данных
4.1. Основанием для допуска работника организации к обработке персональных данных в рамках своих функциональных обязанностей является Перечнем должностей, утвержденным директором организации и должностная инструкция работника. Основанием для прекращения допуска к персональным данным является исключение из Перечня должностей, утвержденным директором организации и (или ) изменение должностной инструкции работника.
4.2. Каждый работник организации, участвующий в процессах обработки персональных данных и имеющий доступ к аппаратным средствам, программному обеспечению и базам данных системы организации, является пользователем и несет персональную ответственность за свои действия.
4.3. Пользователь ОБЯЗАН :
- знать требования руководящих документов по защите персональных данных;
- производить обработку защищаемой информации в строгом соответствии с утвержденными технологическими инструкциями;
- строго соблюдать установленные правила обеспечения безопасности персональных данных при работе с программными и техническими средствами.
4.5. Пользователю ЗАПРЕЩАЕТСЯ :
- использовать компоненты программного и аппаратного обеспечения не по назначению (в неслужебных целях );
- использовать средства разработки и отладки программного обеспечения стандартных программных средств общего назначения (MS Office и др. );
- самовольно вносить какие-либо изменения в конфигурацию аппаратно — программных средств персонального компьютера или устанавливать дополнительно любые программные и аппаратные средства;
- осуществлять обработку персональных данных в присутствии посторонних (не допущенных к данной информации ) лиц;
- записывать и хранить персональные данные на неучтенных съемных носителях информации (гибких магнитных дисках, флэш — накопителях и т.п. ), осуществлять несанкционированную распечатку персональных данных;
- оставлять включенной без присмотра свой персональный компьютер, не активизировав средства защиты от несанкционированного доступа (временную блокировку экрана и клавиатуры );
- оставлять без личного присмотра на рабочем месте или где бы то ни было свое персональное устройство идентификации, носители и распечатки, содержащие персональные данные;
- умышленно использовать недокументированные свойства и ошибки в программном обеспечении или в настройках средств защиты, которые могут привести к нарушениям безопасности персональных данных. Об обнаружении такого рода ошибок — ставить в известность ответственного за безопасность информации и руководителя подразделения.
4.6. Особенности обработки персональных данных без использования средств автоматизации.
4.6.1. Обработка персональных данных считается не автоматизированной, если она осуществляется без использования средств вычислительной техники.
4.6.2. Допуск к не автоматизированной обработке персональных данных осуществляется в соответствии с Перечнем должностей сотрудников организации, имеющих доступ к персональным данным, которые несут ответственность за реализацию требований по обеспечению безопасности персональных данных.
4.6.3. Персональные данные при их не автоматизированной обработке и хранении должны обособляться от иной информации путем фиксации их на отдельных материальных носителях в специальных разделах или на полях форм (бланков ).
4.6.4. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.
4.6.6. Хранение материальных носителей персональных данных осуществляется в специальных шкафах (ящиках, сейфах и т.д. ), обеспечивающих сохранность материальных носителей и исключающих несанкционированный к ним доступ.
5. Обеспечение информационной безопасности при использовании ресурсов сети Интернет
5.1. Ресурсы сети Интернет могут использоваться для осуществления выполнения требований законодательства Российской Федерации, дистанционного обслуживания, получения и распространения информации, связанной с деятельностью организации (в том числе, путем создания информационного web-сайта ), информационно-аналитической работы в интересах организации, обмена почтовыми сообщениями, а также ведения собственной хозяйственной деятельности. Иное использование ресурсов сети Интернет, решение о котором не принято руководством организации в установленном порядке, рассматривается как нарушение информационной безопасности.
5.2. С целью ограничения использования сети Интернет в неустановленных целях выделяется ограниченное число пакетов, содержащих перечень сервисов и ресурсов сети Интернет, доступных для пользователей. Наделение работников организации правами пользователя конкретного пакета выполняется в соответствии с его должностными обязанностями.
5.3.Особенности использования сети Интернет:
- сеть Интернет не имеет единого органа управления (за исключением службы управления пространством имен и адресов ) и не является юридическим лицом, с которым можно было бы заключить договор (соглашение ). Провайдеры (посредники ) сети Интернет могут обеспечить только те услуги, которые реализуются непосредственно ими;
- гарантии по обеспечению информационной безопасности при использовании сети Интернет никаким органом не предоставляются.
5.4. При осуществлении электронного документооборота, в связи с повышенными рисками информационной безопасности при взаимодействии с сетью Интернет организация применяет соответствующие средства защиты информации (межсетевые экраны, антивирусные средства, средства криптографической защиты информации и пр. ), обеспечивающие прием и передачу информации только в установленном формате и только для конкретной технологии.
5.5. Почтовый обмен конфиденциальной информацией через сеть Интернет осуществляется с использованием защитных мер.
5.6. Электронная почта организации подлежит периодической архивации. Доступ к архиву разрешен только подразделению (лицу ) в организации, ответственному за обеспечение информационной безопасности. Изменения в архиве не допускаются.
5.7. При взаимодействии с сетью Интернет Департамент информационных технологий обеспечивает программными и аппаратными средствами противодействие атакам хакеров и распространению спама.
5.8. При пользовании ресурсами сети Интернет ЗАПРЕЩАЕТСЯ:
- использовать на рабочем месте иные каналы доступа персонального компьютера к сети Интернет, кроме установленного;
- проводить самостоятельное изменение конфигурации технического и программного обеспечения персонального компьютера, подключенной к сети Интернет;
- осуществлять отправку электронных почтовых сообщений, содержащих конфиденциальную информацию, по открытым каналам;
- использовать иные, кроме служебных, почтовые ящики для электронной переписки;
- открывать файлы, пришедшие вместе с почтовым сообщением, если не известен источник этого сообщения;
- осуществлять перенос полученной по сети Интернет документированной информации в электронном виде на другие компьютеры без проверки ее антивирусными программами;
- скачивать из сети Интернет, в том числе средствами электронной почты, информацию, содержащую исполняемые модули, программы, драйверы и т.п., без предварительного согласования с Департаментом информационных технологий;
- использовать сеть Интернет вне служебных задач, посещать интернет – сайты, не связанные с выполнением должностных обязанностей.
6. Порядок работы с носителями ключевой информации
6.1. В некоторых подсистемах организации для обеспечения контроля за целостностью передаваемых по технологическим каналам электронных документов (далее – ЭД ), а также для подтверждения их подлинности и авторства могут использоваться средства электронной подписи (далее – ЭП ).
6.2. Работнику организации (владельцу ключа ЭП ), которому в соответствии с его должностными обязанностями предоставлено право постановки на ЭД его ЭП, выдается персональный ключевой носитель информации, на который записана уникальная ключевая информация (ключ ЭП ), относящаяся к категории сведений ограниченного распространения.
6.3. Ключевые носители маркируются соответствующими этикетками, на которых отражается: регистрационный номер носителя и, при возможности размещения, дата изготовления и подпись уполномоченного сотрудника, изготовившего носитель, вид ключевой информации — эталон или рабочая копия, фамилия, имя, отчество и подпись владельца ключа ЭП.
6.4. Персональные ключевые носители (эталон и рабочую копию ) владелец ключа ЭП должен хранить в специальном месте, гарантирующем их сохранность.
6.5. Ключи проверки ЭП установленным порядком регистрируются в справочнике «открытых » ключей, используемом при проверке подлинности документов по установленным на них ЭП.
6.6. Владелец ключа ОБЯЗАН :
- под подпись в «Журнале учета ключевых носителей » получить ключевые носители, убедиться, что они правильно маркированы и на них установлена защита от записи;
- использовать для работы только рабочую копию своего ключевого носителя;
- сдавать свой персональный ключевой носитель на временное хранение руководителю подразделения или ответственному за информационную безопасность в период отсутствия на рабочем месте (например, на время отпуска или командировки );
- в случае порчи рабочей копии ключевого носителя (например, при ошибке чтения ) владелец ЭП обязан передать его уполномоченному сотруднику, который должен в присутствии исполнителя сделать новую рабочую копию ключевого носителя с имеющегося эталона и выдать его взамен испорченного. Испорченная рабочая копия ключевого носителя должна быть уничтожена.
6.7. Владельцу ключа ЭП ЗАПРЕЩАЕТСЯ :
- оставлять ключевой носитель без личного присмотра;
- передавать свой ключевой носитель (эталонную или рабочую копию ) другим лицам (кроме как для хранения руководителю подразделения или ответственному за информационную безопасность );
- делать неучтенные копии ключевого носителя, распечатывать или переписывать с него файлы на иной носитель информации (например, жесткий диск персонального компьютера ), снимать защиту от записи, вносить изменения в файлы, находящиеся на ключевом носителе;
- использовать ключевой носитель на заведомо неисправном дисководе и/или персональном компьютере;
- подписывать своим персональным ключом ЭП любые электронные сообщения и документы, кроме тех видов документов, которые регламентированы технологическим процессом;
- сообщать третьим лицам информацию о владении ключом ЭП для данного технологического процесса.
6.8. Действия при компрометации ключей
6.8.1. Если у владельца ключа ЭП появилось подозрение, что его ключевой носитель попал или мог попасть в чужие руки (был скомпрометирован ), он обязан немедленно прекратить (не возобновлять ) работу с ключевым носителем, сообщить об этом в Департамент информационных технологий и Департамент экономической безопасности, сдать скомпрометированный ключевой носитель с пометкой в журнале учета ключевых носителей о причине компрометации, написать служебную записку о факте компрометации персонального ключевого носителя на имя руководителя подразделения.
6.8.2. В случае утери ключевого носителя владелец ключа ЭП обязан немедленно сообщить об этом в Департамент информационных технологий и Департамент экономической безопасности, написать объяснительную записку об утере ключевого носителя на имя руководителя подразделения и принять участие в служебной проверке по факту утери ключевого носителя.
6.8.3. Ответственный за информационную безопасность обязан немедленно оповестить о факте утраты или компрометации ключевого носителя руководство организации для принятия действий по блокированию ключей для ЭП указанного исполнителя.
6.8.4. По решению руководства организации установленным порядком владелец ключа ЭП может получить новый комплект персональных ключевых носителей взамен скомпрометированных.
6.8.5. В случае перевода владельца ключа ЭП на другую работу, увольнения или прекращения трудовых отношений иным образом он обязан сдать (сразу по окончании последнего сеанса работы ) свой ключевой носитель ответственному за информационную безопасность под подпись в журнале учёта.
7. Организация парольной защиты
7.1. Пароль для своей учетной записи пользователь устанавливает самостоятельно.
7.2. Запрещается использовать пароль домена локальной вычислительной сети (вводится при загрузке персонального компьютера ) для входа в иные автоматизированные системы.
7.2. Длина пароля должна быть не менее 7 символов. В числе символов пароля рекомендуется использовать буквы в верхнем и нижнем регистрах, цифры и специальные символы (@, #, $, &, *, % и т.п. ).
7.3. Пароль не должен включать в себя легко вычисляемые сочетания символов (логины, имена, фамилии и т.д. ), а также общепринятые сокращения (персональный компьютер, ЛВС, USER и т.п. ).
7.4. При смене пароля новое значение должно отличаться от предыдущего не менее чем в 5 позициях.
7.5. Пользователь обязан хранить в тайне свой личный пароль.
7.6. Требования к паролю и периодичность его смены устанавливаются в групповых доменных политиках.
8. Ответственность пользователей
8.1. Работники организации несут ответственность согласно действующему законодательству, за разглашение сведений, составляющих служебную, коммерческую и иную охраняемую законом тайну (в том числе персональные данные ) и сведений ограниченного распространения, ставших им известными по роду работы.
8.2. Нарушения установленных правил и требований по обеспечению информационной безопасности являются основанием для применения к работнику (пользователю ) мер наказания, предусмотренных трудовым законодательством.
Скачать ZIP файл (26892)
Пригодились документы - поставь «лайк»: