4.6.2. Процедури реєстрації

4.6.2.1. Доступ в багатокористувацькій інформаційній системі повинен контролюватися формальними процедурами реєстрації користувачів, які включають:

• Використовування унікального ідентифікатора користувача, по якому його можна однозначно ідентифікувати. Застосування групових ідентифікаторів може бути дозволено тільки там, де це потрібне для виконання роботи

• Забезпечення того, що резервні ідентифікатори не використовуються іншими користувачами

• Перевірку того, що користувач авторизований власником системи для використовування її ресурсів. Можливо отримання окремого дозволу для наділювання правами користувача в керівництва

• Перевірку того, що рівень доступу відповідає діловим задачам, політиці безпеки організації і не суперечить розподілу обов'язків

• Ознайомлення користувача під розпис з наданими правами доступу і порядком його здійснення

• Існування актуального списку всіх користувачів, зареєстрованих для роботи в системі

• Негайне виправлення прав доступу для тих користувачів, чиї посадові обов'язки змінилися або які покинули організацію

• Періодичний контроль і видалення резервних облікових записів користувачів

4.6.3.Процедура авторизації

4.6.3.1. Розподіл привілеїв в багатокористувацькій системі повинен контролюватися за допомогою процедури авторизації

4.6.3.2. Процедура авторизації при розподілі привілеїв в багатокористувацькій системі повинна включати наступні положення :

• Права доступу до кожного системного компоненту (наприклад, ОС, СУБД або додатків) повинні бути визначені для всіх категорій персоналу, що мають до них доступ

• Привілеї індивідуальних користувачів, визначені у міру необхідності або від випадку до випадку повинні бути мінімальні - тільки ті, які необхідні

• Необхідно уникати надання привілеїв користувачам при розробці і використовуванні стандартних програм

• Повинна бути затверджена процедура авторизації, а також визначений перелік всіх призначених привілеїв. Привілеї не повинні надаватися до закінчення процесу авторизації

• Ідентифікатори користувачів, що визначають їх привілеї, повинні відрізнятися від ідентифікаторів, використовуваних в повсякденній роботі

4.6.3.3. Для запобігання неавторизованого доступу до ресурсів необхідно застосовувати засоби захисту операційної системи

4.6.3.4. Засоби захисту операційної системи для запобігання неавторизованого доступу повинні включати наступне

• Ідентифікація і аутентифікація користувача, а при необхідності і ідентифікація обладнання (мережна адреса, номер термінала і т.п.), з якого здійснюється доступ

• Реєстрація успішних і неуспішних спроб входу в систему

• Забезпечення необхідних засобів аутентифікації. При використовуванні парольної системи, вона повинна гарантувати якісні паролі

• По можливості повинно бути обмежено час доступу користувачів в систему

4.6.4. Управління ідентифікаторами і паролями

4.6.4.1. Всім користувачам повинні бути привласнені унікальні персональні ідентифікатори

4.6.4.2. Призначені для користувача ідентифікатори не повинні вказувати на рівень привілеїв користувача, наприклад, адміністратор, менеджер і т.п.

4.6.4.3. Процес управління паролями користувачів повинен задовольняти наступним положенням:

• Всі користувачі повинні бути ознайомлені під розпис з вимогою збереження в таємниці особистого пароля і використовування групових паролів тільки усередині групи

• Рекомендується настроїти систему так, щоб при першому вході користувача з призначеним йому тимчасовим паролем система відразу ж вимагала його змінити. Тимчасові паролі також видаються у разі, коли користувачі забувають свої паролі. Тимчасові паролі повинні видаватися тільки після позитивної ідентифікації користувача

• Паролі не повинні зберігатися в комп'ютерній системі в незахищеному вигляді.

• Тимчасові паролі повинні передаватися користувачам безпечним чином.

• Необхідно уникати передачі паролів з використанням третіх осіб або незашифрованою електронною поштою. Користувач повинен підтвердити отримання пароля

4.6.4.4. Всі користувачі повинні бути обізнані про правила поводження з паролями:

• Паролі повинні зберігатися строго конфіденційно

• Паролі не повинні записуватися на папері, якщо записи не можуть бути збережені в безпечному місці

• При компрометації (розголошуванні або підозрі на розголошування пароля) паролі повинні бути негайно змінені

• Необхідно змінювати тимчасовий пароль при першому вході в систему

• Користувачам забороняється використовувати автоматичний вхід в систему і застосовувати збереження пароля під функціональними клавішами

• Забороняється використовувати індивідуальний пароль для роботи декількох користувачів

• Необхідно регулярно міняти паролі, при цьому паролі привілейованих користувачів повинні мінятися частіше. При зміні пароля неприпустимо повторне використовування старих паролів

• Паролі повинні бути якісними

4.6.4.5. Якісним паролем вважається пароль, що задовольняє спеціальним умовам:

• Довжина пароля - не менш 6 символів

• Пароль легко запам'ятовується

• Пароль не є послідовністю яких-небудь символів, що повторюється

• Пароль не є інформацією, що легко ідентифікується (наприклад, ім'я, телефонний номер, дата народження)

4.6.4.6. Якщо користувачам необхідний доступ до багатьох сервісів і платформ і від них потрібна підтримка декількох паролів, то рекомендується використовувати один єдиний надійний пароль для входу у всі системи

4.6.4.7. Необхідні процедури перевірки прав користувачів:

• Перевірка прав користувачів повинна проводитися регулярно (період, що рекомендується, - 6 місяців) або після кожної зміни в системі

• Перевірка прав користувачів, що мають особливі привілеї для доступу в систему повинна проводитися частіше, - рекомендується кожні 3 місяці