4.8. Правила безпеки при роботі в Інтернеті

4.8.1. Пошук інформації в Інтернеті за допомогою браузера

4.8.1.1. Програми для пошуку і проглядання інформації в Інтернеті, такі як WWW, Gopher, WAIS, і т.ін. надаються співробітникам, в основному, для більш кращого виконання ними своїх посадових обов'язків.

4.8.1.2. Будь-яке користування їх в особистих цілях не повинне заважати звичайній трудовій діяльності співробітників організації, не повинно бути пов'язано з веденням комерційної діяльності в особистих інтересах, що виходять за рамки обов'язків співробітника, і не повинне потенційно загрожувати організації.

4.8.1.3. Всі програми, використовувані для доступу до WWW, повинні бути затверджені мережним адміністратором і на них повинні бути встановлені всі доробки виробника (patch), пов'язані з безпекою.

4.8.1.4. Повинно бути створено і підтримуватися локальне сховище корисних веб-браузерів, додатків для відображення різних форматів документів і плагинів. Користувачам повинні бути відомі і доступні місця, де можна отримати ліцензійні програми для WWW.

4.8.1.5. Всі файли, завантажувані за допомогою WWW, повинні перевірятися на віруси за допомогою затверджених керівництвом антивірусних програм.

4.8.1.6. У всіх браузерах повинно бути заборонена обробка Java, Javascript і ActiveX через небезпеку даних технологій.

4.8.1.7. Всі веб-браузери повинні бути конфігуровані так, щоб використовувати прокси-сервер для WWW з складу брандмауера.

4.8.1.8. При надсиланні даних на веб-сервер за допомогою форм HTML з браузера, упевніться, що встановлений механізм, такий як SSL (Secure Sockets Layer), для шифрування повідомлення при його надсиланні.

4.8.1.9. Співробітникам організації, що користуються Інтернетом, заборонено передавати або завантажувати на комп'ютер матеріал, який є непристойним, порнографічним, фашистським або расистським.

4.8.1.10. Не повинні відвідуватися сайти, про які відомо, що вони містять образливу або іншу шкідливу інформацію.

4.8.1.11. URL сайтів, що містять шкідливу інформацію, повинні повідомлятися відповідальному в організації за безпеку користування Інтернетом.

4.8.1.12. В організації повинен вестися список заборонених сайтів. Програми для роботи з WWW повинні бути конфігуровані так, щоб до цих сайтів не можна було отримати доступ.

4.8.1.13. Сайти, про які стало відомо, що вони містять шкідливу інформацію, повинні відразу ж блокуватися мережними адміністраторами.

4.8.1.14. Дії будь-якого користувача, підозрюваного в порушенні правил користування Інтернетом, можуть бути запротокольовані і використовуватися для прийняття рішення про застосування до нього в санкцій.

4.8.2. Правила безпеки веб-серверів

4.8.2.1. Всі WWW-сервери організації, підключені до Інтернету, повинні знаходитися між брандмауером і внутрішньою мережею організації. Будь-які внутрішні WWW-сервери організації, що забезпечують роботу критичних додатків організації повинні бути захищені внутрішніми брандмауерами. Критична, конфіденційна і персональна інформація ніколи не повинні зберігатися на зовнішньому WWW-сервері.

4.8.2.2. Весь вміст веб-серверів організації, приєднаних до Інтернету, повинен бути затверджений відповідальною особою і встановлений веб-майстром.

4.8.2.3. Користувачам заборонено встановлювати або запускати веб-сервери.

4.8.2.4. Менеджерам і користувачам дозволено мати веб-сторінки для участі в проекті або виконання своїх посадових обов'язків.

4.8.2.5. Відносно веб-сторінок повинен дотримуватися встановлений в організації порядок затвердження документів, звітів, маркетингової інформації і т.д.

4.8.2.6. Повинні бути захищені авторські права, і отримано дозвіл про публікацію інформації на веб-сайтф.

4..8.2.7. На веб-сайтах організації не може розміщуватися персональні рекламні оголошення.

4.8.2.8. На веб-сайтах організації не може розміщуватися образливий або нудний матеріал.

4.8.2.9. Повинен підтримуватися і бути доступний для внутрішнього користування локальний архів програм веб-серверів і засобів публікації інформації на них.

4.8.2.10. Веб-сервери повинні бути сконфігуровані так, щоб користувачі не могли встановлювати CGI-скрипты.

4.8.2.11. Всі мережні додатки, окрім HTTP, повинні бути відключені (наприклад, SMTP, FTP і т.ін.)

4.8.2.12. Інформаційні сервери повинні бути розміщені в захищеній підмережі для ізоляції їх від інших систем організації. Це зменшує ймовірність того, що інформаційний сервер буде скомпрометований і використаний для атаки на інші системи організації.

4.8.2.13. При використуванні засобів адміністрування за допомогою WWW, необхідно забезпечити доступ до нього тільки авторизованих систем (за допомогою IP-адрес, а не імен хостів). Завжди необхідно змінювати паролі за умовчанням.

4.8.2.14. Не повинно бути засобів віддаленого управління веб-сервером (тобто з місць, відмінних від консолі). Всі дії адміністратора повинні виконуватися тільки з консолі. Вхід в систему з віддаленого термінала з правами суперкористувача повинен бути заборонений.

4.8.2.15. На UNIX-системах веб-сервери не повинні запускатися з правами суперкористувача.

4.8.2.16. Всі публічно доступні веб-сайти повинні регулярно тестуватися на предмет коректності посилань, і не повинні знаходитися в стані “under construction”. При реконструкції областей вони повинні робитися неприступними

4.8.2.17. Програми веб-серверів і операційної системи, під управлінням якої працює веб-сервер, повинні містити всі виправлення, рекомендовані виробником для цієї версії.

4.8.2.18. За всіма веб-сайтами повинен здійснюватися контроль як складова частина адміністрування мережі. Дії всіх користувачів, запідозрених в некоректному використовуванні Інтернета, можуть бути запротокольовані для обгрунтовування застосування до них в подальшому адміністративних санкцій.