Надежная утилизация оборудования

Данные организации могут быть скомпрометированы вследствие небрежной утилизации оборудования. Перед утилизацией оборудования все его компоненты, включая носители информации, например, жесткие диски, необходимо проверять, чтобы гарантировать, что конфиденциальные данные и лицензированное программное обеспечение было удалено. Поврежденные запоминающие устройства, содержащие особо ценные данные, могут потребовать оценки рисков для того, чтобы определить, следует ли их уничтожать, ремонтировать или избавиться от них.

Раздел 6 Администрирование компьютерных систем и вычислительных сетей

Примечание: Уровень детализации и формальности процедур, требуемых для администрирования и обеспечения функционирования компьютерных систем и вычислительных сетей, существенно меняется в зависимости от размера организации и типа оборудования, а также от характера и уязвимости производственных приложений. Так, например, для крупной организации, имеющей обслуживаемые специалистами мэйнфреймы, требуется более обширный набор процедур и средств контроля, чем для небольшой организации, использующей «офисную» технологию. В принципе следует применять одни и те же процессы обеспечения безопасности в соответствующей интерпретации.

Операционные процедуры и обазанности

Цель: Обеспечить корректную и надежную работу компьютерных систем и вычислительных сетей.

Необходимо определить обязанности и процедуры по администрированию и обеспечению функционирования всех компьютеров и сетей.

Это должно быть подкреплено соответствующими рабочими инструкциями и процедурами реагирования на события. Для уменьшения риска небрежного или несанкционированного использования систем, следует по необходимости применять принцип разделения обязанностей (см. Разделение обязанностей).

Документированные операционные процедуры

Очевидно, что документированные операционные процедуры должны быть подготовлены для всех функционирующих компьютерных систем для обеспечения их корректной и надежной работы. Документированные процедуры следует также подготовить для работ, связанных с разработкой, сопровождением и тестированием систем, особенно если это требует поддержки и внимания со стороны других подразделений организации, например, отдела управления компьютерными системами.

Процедуры должны включать в себя подробные корректные инструкции по выполнению каждого задания, в том числе (по необходимости) следующие пункты:

а) корректное оперирование с файлами данных;

б) требования к планированию выполнения заданий, включая взаимосвязи с другими системами, а также самое раннее и самое позднее время начала и окончания выполнения заданий;

в) инструкции по обработке ошибок и других исключительных ситуаций, которые могут возникнуть во время выполнения заданий, в том числе ограничения на использование системных утилит (см. Использование системных утилит);

г) обращение за помощью к персоналу поддержки в случае возникновения технических и других проблем, связанных с эксплуатацией компьютерных систем;

д) специальные инструкции по оперированию с выходными данными, такими, как использование специальной бумаги для печатающих устройств или администрирование конфиденциальных выходных данных, включая процедуры надежного удаления выходной информации от сбойных заданий;

е) процедуры перезапуска и восстановления работоспособности систем, используемые в случае их отказа.

Документированные процедуры должны быть также подготовлены для работ по обслуживанию систем, связанных с администрированием компьютеров и сетей, в том числе процедуры запуска и останова компьютеров, резервное копирование данных, техническое обслуживание оборудования, управление компьютерными залами и обеспечение их защиты. Операционные процедуры должны рассматриваться как формальные документы, изменения в которые следует вносить только после их утверждения руководством, наделенным соответствующими полномочиями.