4.5.4.7. Засоби управління доступом

Відповідальні за інформацію особи, що бажають встановити нові системи або програмне забезпечення для підтримки нових або вже існуючих вимог ведення ділової діяльності, для яких потрібні власні засоби управління доступом, повинні, ще до інсталяції цих засобів, розробити правила управління доступом для цих систем. Ці правила повинні переглядатися таким же чином, що і вже існуючі

4.5.4.8. Видалений доступ

а) Службовці, яким наданий видалений доступ до мережі організації, повинні керуватися в роботі правилами і інструкціями захисту обладнання, даних і мережного доступу так само, як якби вони працювали на основному майданчику організації.

б) При роботі поза офісом користувачі повинні використовувати тільки ліцензійне програмне забезпечення; виконувати всі інструкції по створенню резервних копій, а також керуватися в своїй роботі існуючими в організації інструкціями.

4.5.4.9. Безпека зв'язку по телефонних каналах

а) Телефонні номери, що використовуються для вхідних модемних ліній, не повинні публікуватися ні в яких каталогах, які можуть бути доступні кожному, хто не має права доступу.

б) Отримання доступу до мережі за допомогою модемів, підключених до телефонних каналів, повинне супроводитися додатковим етапом аутентифікації, щоб гарантувати законність цього доступу.

в) Повинна бути визначена відповідальність і встановлені процедури управління видаленим обладнанням, включаючи обладнання в сегментах користувачів;

г) При передачі інформації через мережі загального користування повинні застосовуватися спеціальні засоби забезпечення цілісності і конфіденційності. Для забезпечення працездатності мережних комп'ютерів повинні бути розроблені спеціальні процедури.

4.5.5. Безпека носіїв даних

4.5.5.1. Документи, регулюючі операції обігу з носіями даних, повинні враховувати наступні вимоги:

• Документи на всіх видах носіїв і обчислювальна техніка у випадку, якщо ними не користуються, а також в неробочий час повинні зберігатися в приміщенні, що замикається.

• Цінна інформація, коли вона не використовується, повинна зберігатися в захищеному місці (вогнетривкий сейф, виділене приміщення).

• Повинен забезпечуватися адекватний захист персональних комп'ютерів, терміналів і принтерів на час відсутності користувача.

• Повинні бути вжиті надійні заходи, що виключають несанкціоноване використовування копіювальної техніки в неробочий час.

• Сканери повинні бути заблоковані (або захищені від неавторизованого використовування) в неробочі години.

• Критичну інформацію при розпечатуванні слід витягувати з принтера відразу після роздруку.

• З пристроями зберігання інформації, що містять цінну інформацію, при виведенні їх з експлуатації повинні бути виконані дії згідно Інструкції по безпечному знищенню інформації і обладнання.

• Повинні бути визначені процедури поводження із знімними носіями даних.

• Всі носії, термін експлуатації яких закінчився, повинні бути знищені в установленому порядку.

• Для винос носіїв за межі організації повинно бути отримано спеціальний дозвіл, факт винос повинен бути зафіксований в спеціальному журналі (базі даних).

• Всі носії повинні зберігатися в безпечному місці відповідно до вимог організації-виробника.

• Всі операції з носіями даних повинні бути закріплені документально.

• Необхідно дотримуватися особливої обережності при зберіганні і поводженні з носіями, що містять критичну інформацію.

4.5.5.2. Наступна інформація на носіях вимагає дотримання підвищених заходів безпеки при зберіганні:

• інформація на паперових документах, звіти;

• записи на касетах, дані на знімних дисках;

• інформація на копіювальному папері, картріджах;

• інформація на оптичних носіях;

• лістинги програм, системна документація;

• тестові дані.

4.5.5.3. Необхідно вести реєстрацію дій при поводженні з носіями, що містять критичну інформацію, з урахуванням наступних вимог:

• Необхідно визначити процедури поводження з інформацією і її зберігання.

• Повинен проводитися облік і маркіровка всіх носіїв.

• Доступ неавторизованих користувачів до носіїв, що містять критичну інформацію, повинен бути заборонений.

• Необхідна реєстрація всіх авторизованих осіб, що одержують доступ до даних.

• Носії даних повинні зберігатися відповідно до вказівок постачальника.

• Доступ до даних повинен бути наданий мінімальному числу осіб.

• Повинна проводитися регулярна перевірка переліків користувачів, що мають право доступу до даних.

4.5.5.4. Всі носії, термін експлуатації яких закінчився, повинні бути знищені в установленому порядку.

4.5.5.5. Для виносуносіїв за межі організації, повинен бути отриманий спеціальний дозвіл; факт виносу повинен бути зафіксований в спеціальному журналі (базі даних).