7.5. Планирование безопасной работы на персональном компьютере

Необходимо признать, что производственные отношения основываются на управлении информационными средствами и требуют принятия решений относительно них. Эти решения по структуре, стоимости и защите информации составляют основу, на которой строится эффективная программа по безопасности ПК. Предприятие должно принять решение по стратегическим целям, приложениям и контролю над сетью, связывающей ПК, и отдельными ПК.

Поскольку прикладные задачи перешли от больших компьютеров на ПК, а современные новые приложения разрабатываются для сетей ПК, руководство должно иметь процесс, гарантирующий продолжение уровня качества информации. Он включает меры по защите информации. Эти меры должны выполняться на основе стандартов, как было описано в главе 3.

7.5.1. Стандарты предприятия по использованию пк

Каждое предприятие должно принять стандарты, которые устанавливают средства контроля за применением ПК. В решение руководства, которое является предварительным условием принятия стандартов, должно входить следующее:

1. Анализ риска, определяющий ослабленные позиции, возникающие на предприятии вследствие использования сетевых ПК, на работе или в домашних условиях. Этот анализ позволит вывести основные требования политики, т.е. на каких формах производственной деятельности сотрудников следует настаивать. Ослабленные позиции могут быть разными для различных приложений. Одна из проблем состоит в том, что предприятие может не знать, кто использует персональные компьютеры, видя только результат их деятельности. Руководящие указания и стандарты, рассматривающие использование ПК, должны обеспечить механизм контроля, гарантирующий персональную ответственность пользователя при работе на ПК с информацией предприятия.

2. Процедура получения, использования и контроля ПК. ПК не должны рассматриваться, как простой элемент информационного оборудования отдела по нескольким причинам, включающим совместимость с другим оборудованием и информационный контроль. Так как ПК дешевы, сотрудники могут покупать их произвольным образом, используя деньги, выделяемые на нужды отдела. Предприятие должно иметь строгие правила относительно того, как должно приобретаться любое компьютерное оборудование, или, более того, предприятие должно указать, какие ПК можно использовать, с какими операционными системами можно работать, а также ограничения, накладываемые на прикладные программы.

3. Формальное принятие ответственности сотрудниками в случае, когда они хотят использовать ПК или другое терминальное устройство за пределами предприятия. С целью защиты интересов производства каждый сотрудник должен подписать контракт, в котором оговариваются его обязательства перед предприятием. Контракт должен устанавливать в письменной форме ответственность сотрудника по защите информации предприятия во время работы с ней, и то, что сотрудник обещает следовать практике предприятия по безопасности. Нарушение условий контракта может привести к юридической ответственности сотрудника, что в дальнейшем может повлечь за собой освобождение его от занимаемой должности.

4. Средства контроля, препятствующие случайному доступу к сетям или большим компьютерам. Конечно, предприятие не может контролировать деятельность каждого сотрудника, но оно может контролировать доступ к портам компьютера, а это – пункт контроля за соединениями ПК с серверами баз данных или сетями. Одним из способов является применение одной из систем контроля порта, доступных в настоящее время. Другой – требует от пользователя наличия электронного ключа, который генерирует код в процессе аутентификации. Такая система гарантирует точную идентификацию вне зависимости от того, какое оборудование используется или с какого места запрашивается доступ.

5. Опубликованные руководящие указания по использованию ПО из мест вне предприятия. Это важно для гарантии поддержания контроля, особенно когда устройства соединены с сетями. Системы так называемых электронных досок объявлений предлагают бесплатное или условно-бесплатное ПО, которое пользователя просят оплатить. Применение таких программ является очень рискованным; предприятие должно четко установить в письменной форме в контракте с каждым сотрудником обязательство не использовать ПО, которое не получило официального одобрения.

Программное обеспечение для ПК не только является источником финансовых расходов, но также может представлять источник беспокойства для предприятия, если сотрудники нарушат контрактные обязательства, принятые при покупке ПО для производственной деятельности. Все программное обеспечение для ПК, такое как утилиты для операционных систем или прикладные программы (такие как разработанные программистами предприятия системы анализа смет) должно быть защищено. Слабые стороны программного обеспечения ПК включают:

• нелегальное копирование или нелегальное применение ПО, которое имеет авторские права и куплено по лицензии;

• скрытное изменение операционной системы, контроля безопасности или прикладной программы на диске для обмана или с другими тайными целями;

• потерю ПО, наступившую как вследствие необдуманной перезаписи или стирания программ, так и кражи диска.

Программы должны быть защищены так же, как данные. Диски должны иметь маркировку, включая при необходимости соответствующую метку классификации. Они должны храниться в определенном порядке, так чтобы мог быть замечен отсутствующий диск. Следует подумать о замыкающихся кабинетах и выдвижных полках для безопасного хранения неиспользуемых дисков.

Ряд важных требований по контролю включают следующие требования:

1. Для выполнения производственных задач следует использовать только те ПК и такие пакеты программ, которые получили одобрение информационного руководства предприятия. Это согласуется с правилами по безопасности информации, касающимися получения классифицированных документов и их защиты вне помещений предприятия. Ограничение ПО только одобренным предприятием важно для гарантии целостности информации. Ограничение типов используемых компьютеров увеличивает ценность библиотек ПО и упрощает соединения между компьютерами.

2. ПК предприятия могут использоваться только для производственных целей предприятия. Если сотрудник имеет собственный ПК, то в руководящих указаниях следует отметить, возможно или нет его использование для производственных целей, и если так, то как должна контролироваться информация. Совместное использование ПК работающим сотрудником и членами его семьи не является правильной идеей.

3. Классифицированная информация не должна быть получена или введена с удаленного терминала. Это правило отражает тот факт, что сложно установить эффективный контроль над получением информации после аутентификации пользователя терминала. Для компьютера путь сообщения или файла, который получает аутентифицированный пользователь не имеет значения, зато этот путь очень важен с точки зрения безопасности.

4. Классифицированная информация не должна обрабатываться в присутствии посторонних лиц в помещении. Это является более общим правилом, которое применяется также при работе внутри предприятия. Оно применимо в каждом случае.

5. Каждый сотрудник несет персональную ответственность за защиту классифицированной информации и за надлежащее использование специальных мер безопасности. Индивидуальное понимание и желание использовать надежные инструкции по безопасности являются главными требованиями при эксплуатации сетей. Сотрудники должны быть обеспечены инструкциями по безопасности.

6. Каждый пользователь должен получить уникальный идентификатор и аутентификатор перед тем, как войти в сеть. Полномочия не должны использоваться совместно; пароли или другие токены должны оберегаться самим пользователем.

7. Пароли должны храниться в тайне и периодически меняться согласно стандартам предприятия. Предприятия, которые заботятся о своих информационных средствах, считают тайну и защиту паролей или других аутентификационных токенов вопросом доверия. Нарушение считается тяжелым проступком, часто приводящим к увольнению.

8. Присоединенные ПК должны быть отключены от сети или переведены в пассивное состояние, если устройство осталось без надзора. Сеть самостоятельно может установить тайм-аут, если отсутствие активности очевидно.

9. Периодически руководство должно заново рассматривать подтверждение для работы каждого сотрудника на ПК. Владение и использование ПК на работе должно быть регулярным пунктом ревизий на предприятии. Хорошим способом проверки использования ПК вне предприятия, возможно, служат периодические обследования доступов «по вызову» в системных протоколах.