Безопасность доступа сторонних организаций

Цель: Обеспечить безопасность информационных ресурсов организации, к которым имеют доступ сторонние организации.

Доступ сторонних организаций к информационным ресурсам данной организации следует контролировать.

Там, где доступ сторонних организаций необходим по производственным причинам, следует провести анализ рисков нарушения защиты, чтобы определить его последствия для системы безопасности и требования к средствам контроля. Эти средства контроля должны быть согласованы и определены в контракте, заключенном со сторонней организацией.

Такой доступ может быть предоставлен и другим участникам.

Контракты, разрешающие доступ сторонних организаций, должны включать в себя правила для доступа других участников и условия их доступа.

Рекомендуется использовать настоящие практические правила в качестве основы при составлении подобных договоров.

Идентификация рисков, связанных с подключениями сторонних организаций

Защита информационных систем организации может быть нарушена из-за доступа, осуществляемого сторонними организациями без надлежащего управления системой безопасности. Если в связи с деятельностью организации возникает необходимость в подключении к узлу сторонней организации, следует выполнить оценку рисков, чтобы определить, необходимы ли какие-либо специальные меры по защите информации. При анализе риска следует принять во внимание тип предоставляемого доступа, ценность информации, принятые сторонней организацией меры защиты и последствия от доступа для безопасности информационной инфраструктуры организации. Процесс анализа можно облегчить, обратившись к опубликованным промышленным стандартам, например, к настоящим практическим правилам.

Доступ сторонних организаций к информационным ресурсам данной организации может быть разрешен только после того, как приняты все необходимые защитные меры и подписан договор, определяющий условия подключения.

Условия безопасности в контрактах, заключенных со сторонними организациями

Соглашения, предусматривающие доступ сторонних организаций к информационным ресурсам данной организации, должны быть основаны на контракте, в котором должны быть перечислены все необходимые условия безопасности (или даны ссылки на них), чтобы обеспечить соответствие политике и стандартам безопасности, принятыми в организации. Контракт должен быть заключен перед тем, как будет предоставлен доступ к информационным ресурсам. При составлении контрактов следует рассмотреть следующие вопросы:

а) общая политика информационной безопасности; б. разрешенные способы доступа, а также контроль и использование уникальных идентификаторов пользователей и паролей;

б) описание каждого предоставляемого информационного сервиса;

в) требование вести список лиц, которым разрешено использовать сервис;

г) время и дата, когда сервис будет доступен;

Примечание. Следует рассмотреть планы действий в чрезвычайных ситуациях (по необходимости)

д) вытекающие из соглашения обязательства организаций;

е) процедуры, касающиеся защиты ресурсов организации, включая информацию;

ж) обязанности, касающиеся правовых вопросов, например, законодательство о защите данных;

з) право отслеживать действия пользователей;

и) обязанности по установке оборудования и программного обеспечения и их сопровождения;

и) право проверять договорные обязательства;

к) ограничения на копирование и раскрытие информации;

л) меры по обеспечению возврата или уничтожения информации и ресурсов по окончании срока действия контракта;

м) необходимые меры по физической защите;

н) механизмы для обеспечения реализации защитных мер;

о) обучение пользователей методам, процедурам и правилам безопасности;

п) меры по обеспечинию защиты от компьютерных вирусов (см. Средства защиты от вирусов);

р) процедура предоставления разрешения на доступ пользователей;

с) процедуры уведомления об инцидентах в системе безопасности и их расследования;

т) участие сторонних организаций (субподрядчики и другие участники).