ISO/EIC 17799:2000

c)не нарушать безопасность других систем, совместно с которыми используются информационные ресурсы;

d)иметь возможность обеспечить доступ к информации только для владельца, для других выделенных авторизованных пользователей или для определенных групп пользователей.

9.6.1 Ограничение доступа к информации

Пользователи прикладных систем, в том числе специалисты по поддержке, должны получать доступ к информации и функциям прикладных программ в соответствии с принятой в организации политикой доступа к информации (см. раздел 9.1) и индивидуальными потребностями каждой области деятельности. Рекомендуется рассмотреть возможность введения следующих мер для ограничения доступа:

a)создание меню для управления доступом к функциям прикладных программ;

b)предоставление пользователям только той информации о функциях прикладных программ, которую им разрешено знать (для этого может потребоваться соответствующее редактирование пользовательской документации);

c)контроль прав доступа пользователей (например, прав чтения, записи, удаления и исполнения);

d)проверка того факта, что результаты работы прикладных программ, работающих с конфиденциальной информацией, содержат только те данные, которые необходимы для целей использования результатов, и что результаты пересылаются только на авторизованные терминалы и в разрешенные пункты. Следует регулярно проверять, удаляется ли излишняя информация из результатов работы.

9.6.2 Изоляция конфиденциальных систем

Конфиденциальные системы могут потребовать создания выделенной (изолированной) вычислительной среды. Некоторые прикладные системы настолько чувствительны к потенциальным потерям, что требуют особого обращения. В зависимости от степени конфиденциальности система может работать на отдельном компьютере, использовать ресурсы совместно только с доверенными прикладными системами или вообще не иметь ограничений. Необходимо принимать во внимание следующее:

a)Уровень конфиденциальности прикладной системы должен быть четко определен и задокументирован владельцем системы (см. раздел 4.1.3).

b)Если конфиденциальное приложение должно работать в совместно используемой среде, необходимо определить прикладные системы, совместно с которыми будут использоваться ресурсы, и согласовать их список с владельцем конфиденциального приложения.

9.7 Мониторинг доступа и использования системы

Цель: Обнаружение несанкционированных действий.

За работой систем необходимо наблюдать, определяя отклонения от политики управления доступом и регистрируя события, которые можно отследить, чтобы иметь улики в случае инцидентов, связанных с безопасностью.

Мониторинг систем позволяет проверить эффективность реализованных мер и соответствие модели политики безопасности (см. раздел 9.1).

ISO/EIC 17799:2000

3)сигналы тревоги от средств сетевого управления.

9.7.2.2Факторы риска

Результаты мониторинга необходимо регулярно просматривать. Частота просмотра должна зависеть от существующей степени риска. Вот некоторые факторы риска, которые следует учитывать:

a)критичность прикладных процессов;

b)ценность, конфиденциальность или критичность обрабатываемой информации;

c)предыдущие случаи проникновения в систему и неправомерного использования;

d)степень взаимосвязи систем (в частности, в общедоступных сетях).

9.7.2.3 Ведение и просмотр журнала событий

При просмотре журнала необходимо понимать угрозы, с которыми сталкивается система, и способы, которыми эти угрозы могут проявиться. Примеры событий, которые могут потребовать дополнительного расследования в случае инцидентов, приводятся в разделе 9.7.1.

Системные журналы часто содержат большие объемы информации, значительная часть которых не относится к мониторингу безопасности. Чтобы упростить обнаружение значительных событий, относящихся к мониторингу безопасности, рекомендуется рассмотреть средства автоматического копирования сообщений определенных типов в отдельный журнал и/или о применении подходящих системных утилит или аудиторских средств для анализа файлов.

При распределении обязанностей по просмотру журнала следует постараться, чтобы лица, просматривающие журнал, не входили в круг тех лиц, информация о действиях которых просматривается.

Следует обратить особое внимание на защиту средств ведения журнала, поскольку в случае их подделки может возникнуть ложное чувство безопасности. Необходимо реализовать средства защиты от несанкционированных изменений и от проблем в работе, в том числе от следующих проблем:

a)деактивация системы ведения журнала;

b)изменение перечня записываемых типов сообщений;

c)редактирование или удаление файлов журнала;

d)недостаток свободного места для записи журнала, в результате чего события могут быть либо перезаписаны, либо не записаны вообще.

9.7.3 Синхронизация часов

Правильная установка часов компьютеров необходима для того, чтобы гарантировать точность контрольных журналов, которые могут потребоваться для расследований или в качестве улик при уголовном или административном преследовании. Неточность контрольных журналов может затруднить расследование и снизить достоверность этих улик.

Если в компьютере или коммуникационном устройстве имеются часы истинного времени, эти часы необходимо установить в соответствии в принятым стандартом (например, всемирным координированным временем – UCT) или в соответствии с местным временем. Поскольку некоторые часы со временем отстают или уходят вперед, необходимо ввести процедуру проверки и коррекции значительных отклонений.