ISO/EIC 17799:2000

b)политика и соответствующие меры для управления обменом информацией, например, использование общих электронных досок объявлений (см. раздел 9.1).

c)исключение категорий конфиденциальной информации в том случае, если система не обеспечивает соответствующего уровня защиты (см. раздел 5.2).

d)ограничение доступа к дневниковой информации, связанной с частью сотрудников, например, с теми, кто участвует в конфиденциальных проектах;

e)пригодность (или непригодность) системы для поддержки определенных видов деятельности организации, например, для передачи заказов или авторизаций;

f)категории сотрудников, подрядчиков и деловых партнеров, которым разрешено использовать систему, и места, из которых к ней можно получить доступ (см. раздел

4.2);

g)предоставление доступа к определенным средствам только избранным категориям пользователей;

h)определение статуса пользователей (например, сотрудников организации или подрядчиков) с помощью каталога для удобства других пользователей;

i)сохранение и резервное копирование информации, хранящейся в системе (см. разделы

12.1.3 и 8.4.1);

j)требования к процедурам аварийного восстановления и необходимые соглашения (см. раздел 11.1).

8.7.6 Общедоступные системы

Необходимо принять меры для защиты целостности информации, опубликованной в электронном виде, чтобы предотвратить несанкционированные изменения, которые могут повредить репутации организации, опубликовавшей эту информацию.. Информация, хранящаяся в общедоступных системах, например, информация на Web-сервере, доступном через Интернет, может попадать под действия законов, правил и нормативных актов в той юрисдикции, где располагается система или совершаются торговые операции. Перед тем, как информация будет открыта для общего доступа, она должна пройти официальный процесс авторизации.

Программное обеспечение, данные и другая информация, которая требует высокой степени целостности, при предоставлении через общедоступные системы должна быть защищена с помощью соответствующих механизмов, например, с помощью цифровых подписей (см. раздел 10.3.3). Системы электронной публикации, особенно те системы, которые обеспечивают обратную связь и прямой ввод информации, должны находиться под тщательным контролем для того, чтобы:

a)информация передавалась в соответствии с действующими законами о защите данных

(см. раздел 12.1.4);

b)информация, вводимая в систему публикации и обрабатываемая ей, обрабатывалась полностью и своевременно;

c)конфиденциальная информация была защищена при сборе и при хранении;

d)доступ к системе публикации не обеспечивал неограниченного доступа к сети, к которой она подключена.

8.7.7 Другие формы обмена информацией

Необходимо ввести правила и средства для защиты обмена информацией в устной форме, с

© ISO/EIC 2000, 49

© Перевод компании Информзащита 2004

ISO/EIC 17799:2000

помощью факсимильной связи и с помощью видеосвязи. Безопасность информации может быть нарушена из-за недостаточной осведомленности, отсутствия четких правил по использованию подобных средств (например, из-за того, что разговор по мобильному телефону в общественном месте или сообщения на автоответчике будут подслушаны), несанкционированного доступа к телефонным системам голосовой почты или случайной отправки факсимильного сообщения неправильному адресату.

Нарушение деятельности организации и компрометация информации могут произойти из-за отказа, сбоев или перегрузки средств связи (см. раздел 7.2 и часть 11). Кроме того, информация может быть скомпрометирована в результате доступа неавторизованных пользователей (см. часть 9).

Необходимо разработать для сотрудников четкие правила, касающиеся использования голосовой, факсимильной и видеосвязи. Эти правила должны включать:

a)напоминание о том, что сотрудники должны соблюдать необходимые меры предосторожности, например, не раскрывать конфиденциальную информацию в том случае, если существует возможность подслушивания или перехвата телефонного разговора:

1)находящимися рядом людьми (в частности, при использовании мобильных телефонов);

2)путем прослушивания линии или другим способом, предполагающим физический доступ к телефонному аппарату или телефонной линии, или с помощью сканирующих приемников при использовании аналоговых мобильных телефонов;

3)лицами, находящимися на другом конце линии;

b)напоминание о том, что сотрудники не должны вести конфиденциальных разговоров в общественных местах, открытых кабинетах и переговорных комнатах с тонкими стенами;

c)запрет оставлять сообщения на автоответчиках, поскольку эти сообщения могут быть прослушаны посторонними, сохранены в общедоступных системах или записаны не на том аппарате в результате ошибок в наборе номера;

d)напоминание о проблемах, связанных с использованием факсимильных аппаратов, включая:

1)несанкционированный доступ к встроенным хранилищам сообщений для получения сообщений;

2)случайное или намеренное программирование аппаратов для отправки сообщений по определенным номерам;

3)отправка документов и сообщений по неправильному номеру в результате ошибок в наборе или неверного выбора сохраненных номеров.