4.5.4.5. Імена користувачів

а) Системним іменам і іменам користувачів, привласненим за умовчанням, призначеним самою операційною системою, повинен бути привласнений пароль, відмінний від того, який був призначений при завантаженні операційної системи.

б) Імена користувачів, призначені допоміжним системам без урахування вимог реєстрації, повинні бути конфігуровані так, щоб не дозволяти їм реєструватися в системі. Імена користувачів допоміжних систем, які не використовуються, повинні бути видалені з системи.

в) Запрошені користувачі і інші користувачі, що не є співробітниками організації, дістають доступ до мережі і її ресурсів у поручителя організації і призначеного системного або мережного адміністратора. Адміністратор розробляє процедури для надання, відміни і перегляду права доступу запрошеним користувачам і іншим користувачам, що не є співробітниками організації.

г) Поручитель надає користувачам право доступу до правил безпеки організації і процедур і роз'яснює їм, що вони зобов'язані дотримувати ці правила. Поручитель і адміністратор відповідають за контроль дотримання правил запрошеними користувачами. Призначені для користувача імена повинні привласнюватися запрошеним користувачам тільки на той час, поки їм необхідний доступ в систему. Імена користувачів повинні анулювати, як тільки доступ ним стане непотрібним.

д) Всі реєстраційні екранні повідомлення, відображення даних і інші екранні форми, що з'являються під час реєстрації або аутентифікації і супроводжуються банерами, не повинні містити ніякої інформації про операційне середовище.

е) Служби реєстрації повинні забезпечувати позитивну аутентифікацію. Це дасть гарантію того, що законний користувач отримає доступ до системи або мережного оточення.

ж) Користувачам з правом доступу до виробничої сфери не можна дозволяти ініціювати багатократні сеанси аутентифікації.

з) Користувачі зобов'язані розреєструвати свою робочу станцію, коли не працюють на ній. Адміністратори повинні розробити процедури, що гарантують безпеку невживаних робочих станцій шляхом їх автоматичної розреєстрації або іншими способами, якщо вони не є активними протягом певного періоду часу, встановленого під час обстеження об'єкту.

и) Для привілейованого режиму роботи повинні бути розроблені відповідні інструкції, що гарантують їх чітке виконання співробітниками організації. В цих інструкціях повинні бути визначені умови контролю виконання, управління і перегляду вимог доступу.

4.5.4.6. Паролі

а) В обліковому записі кожного користувача повинен міститися його власний пароль. Діючий пароль повинен складатися з комбінації букв, цифр або спеціальних символів; складатися не менше ніж з восьми символів, і залишатися діючим протягом 42 днів після останньої зміни. Пароль не можна використовувати повторно, принаймні, протягом 24 місяців після його останнього використовування.

б) Зберігати паролі потрібно, виходячи з вимог системи, мережі або використовуваного програмного забезпечення. В ці вимоги повинно бути включено умову незмінності прийомів збереження паролів в таємниці.

в) Призначений для користувача інтерфейс при введенні паролів повинен дозволяти користувачам вводити свої паролі без показу яких би те не було характеристик введення. Ці паролі не повинні передаватися в мережі в читабельній формі.