4.6.5. Система управління паролями

4.6.5.1. Система управління паролями повинна задовольняти певним вимогам:

• Обов'язкове застосування індивідуальних паролів

• По можливості, давати користувачам можливість вибирати і міняти свій пароль, а також повинні бути передбачені процедури контролю помилок при введенні пароля

• Обов'язкове (шляхом застосування відповідної процедури) застосування якісних паролів

• Забезпечити запис старих паролів користувачів (наприклад, за попередні 24 місяці), щоб запобігти їх повторному використовуванню

• Пароль не повинен відображатися на екрані при введенні

• В системах, де користувач повинен сам створити свій пароль, обов'язково повинна бути присутня процедура зміни заданого адміністратором тимчасового пароля при першому вході в систему

• Файл (база даних) паролів повинен зберігатися в захищеному за допомогою криптографічних методів вигляді, при цьому повинні застосовуватися стійкі алгоритми

• Файл (база даних) паролів повинен зберігатися окремо від даних прикладних програм

• Паролі за умовчанням, встановлювані виробниками обладнання і програмного забезпечення, повинні бути замінені в обов'язковому порядку

4.6.6. Правила захисту обладнання, залишеного без нагляду

4.6.6.1. Всі користувачі повинні бути обізнані про правила захисту обладнання, залишеного без нагляду:

• Необхідно завершувати активну сесію перед відходом, якщо неможливе використовування спеціальних блокуючих механізмів, наприклад, парольне блокування екрану

• Обов'язково завершувати з'єднання з сервером після закінчення роботи з ним, а не просто вимикати термінал або комп'ютер

• Невживані робочі станції і термінали повинні бути захищені від неавторизованого доступу за допомогою блокування клавіатури або парольного захисту

4.6.7. Використовування мережних служб і сервісів

4.6.7.1. Необхідно визначити політику використовування мережних служб і сервісів

4.6.7.2. Політика використовування мережних служб повинна містити наступні положення:

• Положення, що визначає мережні служби, до яких дозволений доступ

• Положення, що описує процедури авторизації для визначення, яким користувачам дозволений доступ, і до яких мережних служб

• Положення, що визначає процедури контролю доступу до мережних служб

4.6.7.3. Для управління безпекою великих мереж необхідно розбити їх на декілька логічних сегментів, кожний з яких захищений міжмережевим екраном в межах заданого периметра безпеки

4.6.7.4. В основі критеріїв розбиття мережі на сегменти повинна лежати політика управління доступом, прийнята в організації .

4.6.7.5. Для зниження ризику несанкціонованого доступу до додатків або незаконного використовування інформаційних систем може використовуватися примусова маршрутизація, яка під собою має на увазі ряд обмежень:

• Надання виділених ліній зв'язку або телефонних номерів

• Автоматичне підключення портів до певних прикладних систем або шлюзів безпеки

• Обмеження можливостей вибору маршруту за допомогою системи меню і підміню для окремих користувачів

• Запобігання необмеженого доступу до мережі

• Примусове використовування спеціалізованих системних додатків та/або захищених шлюзів для віддалений користувачів

• Розділення локальної мережі на логічні домени

• Використовування міжмережевих екранів

4.6.7.6. В основі вимог до примусової маршрутизації повинна лежати політика управління доступом, прийнята в організації

4.6.7.7. Політика управління доступом для спільних (колективно використовуваних) мереж, особливо тих з них, які виходять за межі організації, вимагає реалізації засобів контролю для обмеження можливості підключення користувачів

4.6.7.8. Обмеження можливості підключення користувачів до виробничих додатків повинні застосовуватися для наступних додатків

• Електронна пошта

• Одностороння передача файлів

• Двостороння передача файлів

• Інтерактивний доступ

4.6.7.9. При використовуванні організацією різних загальнодоступних і комерційних мережних сервісів, постачальники мережних послуг повинні надавати чіткий опис атрибутів безпеки всіх використовуваних сервісів

4.6.7.10. При доступі віддалений користувачів через загальнодоступні мережі (або такі, що не належать організації) повинна виконуватися процедура аутентифікації

4.6.7.11 Для управління підключеннями і інформаційними потоками в розподіленій мережі, особливо, якщо вона виходить за рамки організації, вимагається використовувати засоби контролю маршрутизації

4.6.7.12. Автоматичні підключення до віддалених комп'ютерних систем повинні проходити процедуру аутентифікації

4.6.7.13. Необхідно контролювати доступ до діагностичних портів

4.6.7.14. Повинні існувати надійні механізми захисту доступу до діагностичних портів:

• Процедура, яка гарантує, що ці порти стають доступними тільки після отримання санкції від адміністратора комп'ютерної системи на доступ фахівців по технічному обслуговуванню програмно-апаратного забезпечення

• Блокування з ключем