|
|
@@ -54,18 +54,26 @@
|
|
|
|
|
|
Персонал не должен самостоятельно изменять настройки средств защиты, отключать защитные механизмы или устанавливать неразрешённое программное обеспечение.
|
|
|
|
|
|
+**Управление и администрирование системы защиты**
|
|
|
+
|
|
|
+Одной из важных функций персонала является администрирование системы защиты информации.
|
|
|
+Администратор отвечает за поддержание установленных правил доступа, настройку средств защиты, контроль учётных записей и другие предусмотренные регламентом действия.
|
|
|
+В соответствии с требованиями ФСТЭК России 2013 года при эксплуатации информационной системы предусматриваются мероприятия по управлению системой защиты информации. К ним относятся управление учётными записями пользователей, поддержание правил разграничения доступа, управление средствами защиты, управление обновлениями программных и программно-технических средств, мониторинг событий безопасности и ведение эксплуатационной документации.
|
|
|
+Таким образом, администратор не просто обеспечивает работу компьютеров и программ, а постоянно контролирует состояние защитных механизмов.
|
|
|
+
|
|
|
**Идентификация и аутентификация пользователей**
|
|
|
|
|
|
Важным элементом защищённой автоматизированной системы является подтверждение личности пользователя.
|
|
|
Идентификация заключается в распознавании пользователя по уникальному идентификатору.
|
|
|
Аутентификация заключается в проверке того, действительно ли пользователь является владельцем предъявленного идентификатора.
|
|
|
Для этого могут использоваться:
|
|
|
-пароль;
|
|
|
-электронный ключ;
|
|
|
-смарт-карта;
|
|
|
-сертификат;
|
|
|
-биометрический признак;
|
|
|
-комбинация нескольких способов.
|
|
|
+* пароль;
|
|
|
+* электронный ключ;
|
|
|
+* смарт-карта;
|
|
|
+* сертификат;
|
|
|
+* биометрический признак;
|
|
|
+* комбинация нескольких способов.
|
|
|
+
|
|
|
После успешной аутентификации пользователю предоставляются только те права, которые соответствуют его роли.
|
|
|
При эксплуатации персонал обязан использовать собственные учётные данные и не передавать их другим сотрудникам.
|
|
|
|
|
|
@@ -81,6 +89,7 @@
|
|
|
* доступ к базам данных;
|
|
|
* использование сетевых ресурсов;
|
|
|
* изменение настроек системы защиты.
|
|
|
+
|
|
|
Разграничение доступа должно соответствовать должностным обязанностям пользователя.
|
|
|
Например, обычному пользователю может быть разрешено чтение определённых документов, тогда как администратору предоставляются дополнительные права для настройки системы.
|
|
|
|
|
|
@@ -103,43 +112,76 @@
|
|
|
|
|
|
**Действия персонала при возникновении инцидентов**
|
|
|
|
|
|
-При обнаружении подозрительной активности сотрудник должен самостоятельно удалить все подозрительные файлы и очистить журнал событий, чтобы предотвратить дальнейшее распространение угрозы. После этого необходимо перезагрузить компьютер и продолжить работу. Сообщать системному администратору или специалисту по информационной безопасности необязательно, если после перезагрузки проблема исчезла. Анализ причин происшествия проводится только в том случае, если система полностью перестала работать. Для восстановления работоспособности допускается самостоятельно отключать средства защиты, если они мешают выполнению рабочих задач.
|
|
|
+Инцидентом безопасности может быть событие, которое нарушает или может нарушить установленный уровень защищённости информации.
|
|
|
+К инцидентам относятся:
|
|
|
+* попытка несанкционированного доступа;
|
|
|
+* заражение вредоносной программой;
|
|
|
+* нарушение правил доступа;
|
|
|
+* отказ оборудования;
|
|
|
+* сбой программного обеспечения;
|
|
|
+* подозрительные действия пользователя;
|
|
|
+* утрата носителя информации;
|
|
|
+* нарушение установленного режима эксплуатации.
|
|
|
+
|
|
|
+При обнаружении инцидента пользователь должен незамедлительно сообщить ответственному сотруднику.
|
|
|
+Администратор или специалист по информационной безопасности определяет характер события, устанавливает возможные причины и принимает предусмотренные регламентом меры.
|
|
|
+Требования ФСТЭК России предусматривают обнаружение и идентификацию инцидентов, информирование ответственных лиц, анализ причин и последствий, устранение инцидентов и принятие мер для предотвращения их повторного возникновения
|
|
|
|
|
|
**Обучение и контроль персонала**
|
|
|
|
|
|
-Обучение необходимо прежде всего новым сотрудникам.
|
|
|
-Опытные работники могут самостоятельно изучать требования безопасности.
|
|
|
-Специальное обучение администратора проводится при необходимости.
|
|
|
-Основные правила безопасности должны быть доведены до работников в начале их работы.
|
|
|
+Даже технически совершенная система защиты не может обеспечить необходимый уровень безопасности, если сотрудники не соблюдают установленные правила.
|
|
|
+Поэтому персонал должен знать:
|
|
|
+* правила работы с автоматизированной системой;
|
|
|
+* требования информационной безопасности;
|
|
|
+* порядок использования средств защиты;
|
|
|
+* правила обращения с паролями;
|
|
|
+* порядок действий при обнаружении инцидентов;
|
|
|
+* требования по работе с информационными носителями;
|
|
|
+* правила сообщения о нарушениях.
|
|
|
+
|
|
|
+Обучение должно проводиться до начала самостоятельной работы сотрудника и при необходимости повторяться.
|
|
|
+В требованиях ФСТЭК России 2013 года также предусмотрено информирование персонала об актуальных угрозах и правилах безопасной эксплуатации, доведение до него требований по защите информации и обучение правилам эксплуатации отдельных средств защиты.
|
|
|
|
|
|
**Эксплуатационная документация**
|
|
|
|
|
|
-Для эксплуатации используются:
|
|
|
-инструкции пользователя;
|
|
|
-инструкции администратора;
|
|
|
-техническое задание;
|
|
|
-журнал технических неисправностей.
|
|
|
-Документы должны описывать порядок использования программ и оборудования.
|
|
|
-При небольших изменениях системы документы можно не обновлять.
|
|
|
+Для правильной эксплуатации защищённой автоматизированной системы используется комплект документации, в который входят руководство администратора, инструкции пользователей, инструкции по эксплуатации средств защиты, регламенты резервного копирования, документы по управлению доступом, порядок регистрации и анализа событий, порядок реагирования на инциденты, документы о проведённых проверках и журналы эксплуатации. Документация должна поддерживаться в актуальном состоянии. При изменении конфигурации системы или средств защиты соответствующие документы также должны корректироваться. ГОСТ 34.201-89 устанавливал виды, наименования и комплектность документов, разрабатываемых при создании автоматизированных систем, а ГОСТ 34.602-89 определял состав и содержание технического задания на создание автоматизированной системы.
|
|
|
|
|
|
**Порядок ежедневной работы персонала**
|
|
|
|
|
|
-Ежедневная работа выполняется следующим образом:
|
|
|
-Вход пользователя → проверка антивируса → выполнение рабочих операций → завершение работы.
|
|
|
-Если антивирус функционирует нормально, дополнительных проверок безопасности перед началом работы не требуется.
|
|
|
-При завершении работы пользователь выключает компьютер или завершает сеанс.
|
|
|
+Работу персонала защищённой автоматизированной системы можно представить в следующем виде:
|
|
|
+Начало работы -> идентификация и аутентификация -> проверка состояния системы –> выполнение разрешённых операций -> контроль событий -> завершение работы -> регистрация необходимых действий
|
|
|
+
|
|
|
+Перед началом работы сотрудник должен убедиться, что используется его собственная учётная запись и отсутствуют
|
|
|
+очевидные признаки нарушения безопасности.Во время работы необходимо соблюдать установленный режим доступа и использовать только разрешённые информационные ресурсы.
|
|
|
+
|
|
|
+После окончания работы пользователь должен завершить сеанс, а при необходимости — выполнить другие действия, установленные эксплуатационной инструкцией.
|
|
|
|
|
|
**Контроль эффективности защиты**
|
|
|
|
|
|
-Основным показателем эффективности является отсутствие вирусов и несанкционированного доступа.
|
|
|
-Контроль выполняется администратором.
|
|
|
-При отсутствии нарушений система считается защищённой.
|
|
|
-Дополнительные мероприятия проводятся только при необходимости.
|
|
|
+Защита информации должна не только быть установлена, но и постоянно контролироваться.
|
|
|
+Контроль позволяет определить:
|
|
|
+* функционируют ли средства защиты;
|
|
|
+* соблюдаются ли установленные правила;
|
|
|
+* отсутствуют ли нарушения;
|
|
|
+* не появились ли новые уязвимости;
|
|
|
+* соответствует ли система установленным требованиям;
|
|
|
+* необходимо ли модернизировать систему защиты.
|
|
|
+
|
|
|
+ГОСТ Р 51583-2014 предусматривает аттестацию автоматизированной системы на соответствие требованиям безопасности информации до её ввода в постоянную эксплуатацию, а также дальнейшее сопровождение системы защиты во время эксплуатации.
|
|
|
|
|
|
**Заключение**
|
|
|
|
|
|
-Защищённая автоматизированная система требует соблюдения установленных правил эксплуатации.
|
|
|
-Главную роль в защите информации играют антивирусные программы, межсетевые экраны и разграничение доступа.
|
|
|
-Персонал должен соблюдать инструкции, использовать пароли и сообщать администратору о возникающих проблемах.
|
|
|
-Администратор обеспечивает работоспособность оборудования и программ, а также устраняет возникающие нарушения.
|
|
|
-Таким образом, эксплуатация защищённой автоматизированной системы заключается в поддержании её работоспособности и использовании основных технических средств защиты.
|
|
|
+Эксплуатация защищённой автоматизированной системы является непрерывным процессом, в котором важную роль играет персонал. От соблюдения сотрудниками установленных правил зависит сохранность информации и устойчивость работы всей системы.
|
|
|
+Персонал должен правильно выполнять идентификацию и аутентификацию, соблюдать разграничение доступа, контролировать работу средств защиты, регистрировать необходимые события и своевременно сообщать об инцидентах.
|
|
|
+Администраторы и специалисты по информационной безопасности дополнительно выполняют настройку и контроль средств защиты, управление учётными записями, анализ событий, устранение нарушений и поддержание эксплуатационной документации в актуальном состоянии.
|
|
|
+Эффективная защита автоматизированной системы достигается не одним техническим средством, а совместной работой программных, технических и организационных мер. Особое значение имеет подготовленность персонала и соблюдение им установленных требований безопасности.
|
|
|
+
|
|
|
+**Список литературы и сайтов**
|
|
|
+
|
|
|
+ГОСТ Р 51583-2014. Защита информации. Порядок создания автоматизированных систем в защищённом исполнении. Общие положения. Введён в действие 1 сентября 2014 года.
|
|
|
+ГОСТ 34.601-90. Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания. Документ действовал в рассматриваемый период и устанавливал стадии и этапы создания АС.
|
|
|
+ГОСТ 34.602-89. Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы.
|
|
|
+ГОСТ 34.201-89. Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем.
|
|
|
+Приказ ФСТЭК России от 11.02.2013 № 17. Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах.
|
|
|
+Информационное сообщение ФСТЭК России от 15.07.2013 № 240/22/2637.
|
|
|
+Росстандарт — Федеральный информационный фонд стандартов. Карточка ГОСТ Р 51583-2014
|
