4.4.3.5. Захист обладнання, що використовується за межами організації

Використовування обладнання інформаційних систем (незалежно від того, хто ним володіє), що підтримують виробничі процеси, за межами організації повинно бути санкціоновано керівництвом; рівень захисту такого обладнання повинен бути таким же, як і для обладнання, розташованого на території організації. Пропонуються наступні рекомендації:

а) Співробітникам забороняється використовувати персональні комп'ютери для продовження роботи вдома, якщо не встановлена процедура перевірки на наявність вірусів.

б) Під час поїздок забороняється залишати обладнання і носії інформації в загальнодоступних місцях без нагляду. Портативні комп'ютери слід провозити як ручний багаж.

в) Під час поїздок портативні комп'ютери вразливі по відношенню до крадіжок, втрати і несанкціонованого доступу. Для таких комп'ютерів слід забезпечити належний захист доступу, щоб запобігти несанкціонованому доступу до інформації, що зберігається в них.

г) Слід завжди дотримувати інструкції виробника, що стосуються захисту обладнання, наприклад, захищати обладнання від дії сильних електромагнітних полів.

4.4.3.6. Надійна утилізація обладнання

Дані організації можуть бути скомпрометовані внаслідок недбалої утилізації обладнання.

а) Пристрої зберігання інформації, що містять цінну інформацію, при виведенні з експлуатації повинні бути фізично знищені, або повинно бути проведено гарантоване стирання з них залишкової інформації

б) Все обладнання, включаючи носії інформації, перед передачею його іншому власнику (або списанням) повинно бути перевірено на предмет відсутності в ньому важливої інформації або ліцензійного програмного забезпечення

в) Подальша доля пошкоджених пристроїв зберігання, що містять важливу інформацію, (знищення або ремонт) визначається на основі висновку експертної комісії

4.5. Управління комунікаціями і процесами

4.5.1. Посадові (службові) інструкції і відповідальність

4.5.1.1. Кожний співробітник будь-якої організації або підприємства НАН України повинен мати посадову інструкцію і виконувати її вимоги.

4.5.1.2. Посадові (службові) інструкції співробітників, що взаємодіють з інформаційними системами, повинні включати:

• Порядок обробки і поводження з інформацією.

• Порядок взаємодії з іншими системами, дозволені години доступу на робоче місце (в нічний час, у вихідні).

• Порядок дій у нештатних ситуаціях.

• Список осіб і способи зв'язку з ними в нештатних ситуаціях.

• Спеціальні інструкції по поводженню з результатами обробки інформації, у тому числі конфіденційними і помилково обробленими.

• Рестарт системи і відновлювальні процедури, необхідні у разі збою системи.

4.5.1.3. Для забезпечення контролю змін в операційному середовищі посадові інструкції повинні визначати відповідальність і дії співробітників по:

• Ідентифікації і запису важливих змін.

• Оцінці потенційного наслідків таких змін.

• Формальному затвердженню процедури внесення змін.

• Взаємодії зі всіма зацікавленими особами при внесенні змін.

• Процедурі визначення відповідальності і повернення в початковий стан при невдалих спробах змін.

4.5.1.4. Посадові інструкції повинні містити процедури реакції у разі інцидентів.

4.5.1.5. Процедури реакції у разі інцидентів повинні містити оперативний план відновлення для всіляких ситуацій, включаючи:

• збої в інформаційних системах

• відмова в обслуговуванні

• помилки через неповні або неправильні вхідні дані

• витік інформації

4.5.1.6. В доповнення до оперативного плану відновлення, процедури повинні також включати:

• аналіз і визначення причин інциденту

• планування і упровадження заходів для запобігання повторення інциденту

• аналіз і збереження відомостей про інцидент, які можуть бути представлені як доказ

• визначення порядку взаємодії між потерпілими від інциденту і учасниками процесу відновлення

• обов'язкове інформування відповідальних осіб

4.5.1.7. По кожному інциденту повинно бути зібрано максимальну кількість інформації, якій також необхідно забезпечити необхідний рівень захисту для:

• подальшого аналізу внутрішніх проблем

• використовування зібраних даних для залучення винні до дисциплінарної, адміністративної або кримінальної відповідальності

• використовування при веденні переговорів про компенсації з постачальниками апаратного і програмного забезпечення

4.5.1.8. Дії по відновленню після виявлення уразливостей в системі безпеки, виправленню помилок і ліквідації несправностей повинні бути уважно і формально запротокольовані. Процедура повинна гарантувати що:

• тільки персонал, що пройшов процедури ідентифікації і аутентифікації може діставати доступ до систем, що «ожили», і даних

• всі дії по виходу з нештатної ситуації зафіксовані у вигляді документа для подальшого використовування

• про всі вироблені дії керівництво було проінформовано в установленому порядку

• цілісність і працездатність системи підтверджена в мінімальні терміни

4.5.1.9. Посадові інструкції повинні визначати метод розмежування відповідальності шляхом розділення обов'язків. Цей метод зменшує ризик від випадкового або запланованого зловживання системою. Розділення зон відповідальності між керівниками дозволяє зменшити можливість несанкціонованої модифікації інформації, зловживання нею або сервісами. 

4.5.1.10. Посадові інструкції повинні визначати метод розділення ресурсів. Всі ресурси повинні бути розділені по цілях використовування:

• перспективна розробка

• тестування (карантин)

• безпосереднє здійснення ділових операцій (операційне середовище)

  4.5.1.11. Правила перенесення нового програмного забезпечення в операційне середовище повинні бути регламентовані:

• Операційне середовище і середовище розробки повинне, по можливості, розташовуватися на різних комп'ютерах, в різних доменах або директоріях

• Середовище розробки і карантин повинно бути надійно ізольовано один від одного

• Засоби розробки, системні редактори і інші системні утіліти не повинні бути доступні в зоні тестування і операційному середовищі

• З ціллю зниження вірогідності виникнення помилок, для входу в тестову і робочу системи повинні використовуватися різні ідентифікатори і паролі, а всі меню повинні мати відповідну маркіровку

• Розробники повинні мати доступ до операційного середовища тільки коли це необхідно для оперативного супроводу цих систем. Для цього вони дістають тимчасовий доступ, що видаляється після закінчення робіт