ISO/EIC 17799:2000

9.2.4 Проверка прав доступа пользователей

Чтобы обеспечить эффективный контроль доступа к данным и информационным сервисам, необходимо ввести официальный процесс регулярной проверки прав доступа пользователей, отвечающий следующим требованиям:

a)права доступа пользователей должны проверяться через регулярные интервалы (рекомендуется интервал в полгода), а также после внесения каких-либо изменений

(см. раздел 9.2.1);

b)разрешения на обладание особыми привилегированными правами доступа (см. раздел 9.2.2) должны проверяться чаще (рекомендуется интервал в три месяца);

c)необходимо регулярно проверять предоставленные привилегии, чтобы убедиться в отсутствии привилегий, полученных без разрешения.

9.3 Обязанности пользователей

Цель: Предотвращение несанкционированного доступа пользователей.

Для эффективной поддержки безопасности требуется сотрудничество авторизованных пользователей.

Пользователи должны быть поставлены в известность о своих обязанностях по поддержке эффективных мер контроля доступа, в частности, о правилах использования паролей и защите пользовательского оборудования.

9.3.1 Использование паролей

При выборе и использовании паролей пользователи должны применять надежные методы.

Пароли служат для подтверждения личности пользователя и, следовательно, для определения прав доступа к сервисам и средствам обработки информации. Всем пользователям необходимо рекомендовать:

a)держать пароли в секрете;

b)не записывать пароли на бумаге в том случае, если гарантировать безопасность хранения этой бумаги нельзя;

c)менять пароли при любых признаках возможного нарушения безопасности системы или паролей;

d)выбирать надежные пароли, имеющие длину не менее шести символов. Пароли должны отвечать следующим требованиям:

1)легко запоминаться;

2)не основываться на информации, которую другие могут легко угадать или узнать (имена, номера телефонов, даты рождения и т. п.);

3)не содержать последовательностей одинаковых символов и групп, состоящих только из цифр или только из букв.

e)менять пароли с определенным интервалом или после определенного количества сеансов доступа (пароли для привилегированных учетных записей должны меняться чаще, чем обычные пароли), и избегать повторного использования старых паролей;

f)изменять временные пароли при первом входе в систему;

g)не включать пароли в автоматизированные процедуры входа в систему (например, не