ISO/EIC 17799:2000

4.1.6 Сотрудничество между организациями

Необходимо поддерживать связь с правоохранительными и регулятивными органами, поставщиками информационных услуг и операторами телекоммуникационных служб, чтобы в случае инцидентов иметь возможность быстро принять соответствующие меры и получить консультации. По той же причине следует подумать об участии в группах обеспечения безопасности и отраслевых промышленных советах.

Обмен сведениями о мерах безопасности следует ограничить, чтобы не допустить утечки конфиденциальной информации из организации.

4.1.7 Независимая оценка информационной безопасности

В документе, описывающем политику информационной безопасности (см. раздел 3.1), определяется политика и ответственность за информационную безопасность. Реализация политики информационной безопасности должна быть оценена независимыми специалистами. Они должны проверить, насколько введенные в организации меры отражают требования политики и насколько они практичны и эффективны (см. раздел 12.2).

Такая оценка может быть произведена внутренними аудиторами, независимым специалистом или сторонней организацией, специализирующейся на таких проверках. Убедитесь, что кандидаты на эту роль обладают необходимыми навыками и опытом.

4.2 Безопасность доступа со стороны внешних пользователей

Цель: Обеспечить безопасность доступа к средствам обработки информации и информационным ресурсам организации со стороны внешних пользователей.

Доступ посторонних к принадлежащим организации средствам обработки информации необходимо контролировать.

Если необходимость такого доступа диктуется спецификой выполняемой задачи, следует провести оценку рисков и определить влияние на безопасность и требуемые средства контроля. Средства контроля следует согласовать со сторонней организацией и указать в договоре.

Доступ к информационным ресурсам организации могут получать и другие сторонние участники. Контракты, предполагающие доступ со стороны, должны включать в себя сведения о возможности назначения других участников и условиях их доступа.

Данный стандарт можно использовать в качестве основы для подобных контрактов; кроме того, его можно использовать при оценке необходимости привлечения других организаций к обработке информации.

4.2.1 Определение рисков, связанных с доступом со стороны внешних пользователей

4.2.1.1 Типы доступа

Тип доступа, предоставляемого сторонней организации, имеет особую важность. Например, риски при доступе через сетевое соединение отличаются от рисков при физическом доступе. Следует рассмотреть следующие типы доступа:

a)физический доступ – например, доступ к помещениям, компьютерным залам, шкафам с документацией;

b)логический доступ – например, доступ к базам данных и информационным системам организации.

ISO/EIC 17799:2000

1)процедуры защиты ресурсов организации, в том числе информации и программного обеспечения;

2)процедуры, позволяющие определить факты компрометации ресурсов, например, потерю или модификацию данных;

3)средства, гарантирующие возврат или уничтожение информации и ресурсов по истечении срока контракта или на оговоренном этапе;

4)целостность и доступность;

5)ограничения на копирование и раскрытие информации;

c)описание всех предоставляемых услуг;

d)целевой уровень услуг и неприемлемые уровни услуг;

e)порядок допуска персонала поставщика к информации и ресурсам;

f)е) соответствующие обязательства сторон, заключающих договор;

g)ж) ответственность, связанная с требованиями законодательства, например, законов о защите данных; в том случае, если контракт подразумевает сотрудничество с организациями в других странах, необходимо уделить особое внимание законодательным системам других стран (см. также раздел 12.1);

h)з) права на интеллектуальную собственность, присвоение авторских прав (см. раздел 12.1.2) и защита совместной работы (см. также раздел 6.1.3).

i)и) соглашения по контролю доступа, включая:

1)разрешенные методы доступа, а также контроль и использование уникальных идентификаторов, например, пользовательских идентификаторов и паролей;

2)процесс авторизации для получения пользовательского доступа и привилегий;

3)необходимость обязательной поддержки списка лиц, имеющих полномочия на использование предоставленных услуг, с указанием их прав и привилегий в отношении такого использования;

j)к) определение поддающихся проверке критериев эффективности, методов их мониторинга и отчетности;

k)л) право на мониторинг деятельности пользователей и прекращение доступа;

l)м) право на аудит обязанностей по контракту или выполнение этого аудита сторонней организацией;

m)н) установление процесса эскалации для решения проблем; при необходимости следует также предусмотреть возможность возникновения нештатных ситуаций;

n)о) обязанности по установке и обслуживанию оборудования и программного обеспечения;

o)п) четкая структура отчетности и согласованные форматы отчетов;

p)р) четкий и определенный процесс организации внесения изменений;

q)с) все необходимые средства физической защиты и механизмы, обеспечивающие соблюдение принятых мер;

r)т) подготовка пользователей и администраторов в области методов, процедур и безопасности;

s)у) средства защиты от злонамеренного программного обеспечения (см. раздел 8.3).