4.8.3. Правила безпеки для електронної пошти

4.8.3.1. Організація надає своїм співробітникам електронну пошту для виконання ними своїх обов'язків. Обмежене використовування її в особистих цілях дозволяється, якщо воно не загрожує організації.

4.8.3.2. Використовування служб електронної пошти для цілей, що явно суперечать інтересам організації або суперечать політикам безпеки організації заборонено, також як і надмірне використаний її в особистих цілях.

4.8.3.3. Використовування електронної пошти таким чином, що це допомагає одержувати особисту комерційну вигоду, заборонено.

4.8.3.4. Всі співробітники повинні мати адреси електронної пошти.

4.8.3.5. Поштова система повинна забезпечувати тільки одну зовнішню електронну адресу для кожного співробітника. Ця адреса не повинна містити імені внутрішньої системи або посади.

4.8.3.6. Довідники електронних адрес співробітників не можуть бути зроблені загальнодоступними.

4.8.3.7. Якщо за допомогою електронного листа повинна бути надіслана конфіденційна інформація або інформація, що є власністю організації, вона повинна бути зашифрована так, щоб її міг прочитати тільки той, кому вона призначена, з використанням затверджених в організації програм і алгоритмів.

4.8.3.8. Користувачі не повинні дозволяти кому-небудь посилати листи, використовуючи їх ідентифікатори. Це торкається їх начальників, секретарів, асистентів або інших товаришів по службі.

4.8.3.9. Ніхто з відвідувачів, контрактників або тимчасових службовців не має права використовувати електронну пошту організації.

4.8.3.10. Повідомлення, що виходять, можуть бути вибірково перевірені, щоб гарантувати дотримання політики.

4.8.3.11. Якщо організація забезпечує доступ до електронної пошти зовнішніх користувачів, таких як консультанти, контрактні службовці або партнери, вони повинні прочитати політику доступу до електронної пошти і розписатися за це.

4.8.3.12. Організація залишає за собою право отримати доступ до електронної пошти співробітників, якщо на те будуть вагомі причини. Вміст електронного листа не може бути розкритий, окрім як з ціллю забезпечення безпеки або на вимогу правоохоронних органів.

4.8.3.13. Вхідні поштові повідомлення зберігаються в поштових скриньках на протязі 2 місяців, після чого архивуються.

4.8.3.14. Можуть використовуватися тільки затверджені поштові програми.

4.8.3.15. Журнали поштових серверів повинні перевірятися на предмет виявлення використовування незатверджених поштових клієнтів співробітниками організації, і про такі випадки повинне докладатися.

4.8.3.16. Вхідні листи повинні перевірятися на віруси або інші РПС.

4.8.3.17. POP-сервер повинен бути конфігурований так, щоб виключати використовування незашифрованих паролів з локальних машин.

4.8.3.18. Повинен вестися локальний архів MIME-сумісних програм для проглядання спеціальних форматів і бути доступний для внутрішнього використовування..

4.8.3.19. Якщо буде встановлено, що співробітник навмисно неправильно використовує електронну пошту, він буде покараний.

4.9. Розробка і супровід інформаційних систем

4.9.1. Безпека додатків

4.9.1.1. В критичних додатках необхідна перевірка вхідних даних. Повинна проводитися перевірка вхідних даних на наявність наступних помилок:

• перевищення розмірності значення;

• неприпустимі символи у вхідному потоці;

• відсутні або неповні дані;

• об'єм вхідних даних вище або нижче за норму;

• заборонені або невірні управляючі значення.

4.9.1.2. Також повинні бути проведені наступні заходи:

• перевірка цілісності і правильності вмісту ключових полів або файлів даних;

• перевірка твердих копій вхідних документів на будь-які заборонені (несанкціоновані) зміни;

• перевірка реакції на підтверджені помилки;

• перевірка достовірності вхідних даних;

• визначення відповідальності для всього персоналу, залученого в процес обробки і введення початкових даних.

4.9.1.3. Для того щоб виявити випадки пошкодження правильно введених даних в результаті помилок обробки або навмисних дій, необхідно використовувати засоби контролю роботи систем. Засоби контролю повинні аналізувати:

• використовування функцій, що відповідають за додавання і видалення (внесення змін) даних;

• процедури по запобіганню некоректного запуску програм після попередніх збоїв.

4.9.1.4. Необхідно використовувати відповідне програмне забезпечення для відновлення після збоїв, щоб гарантувати коректну обробку даних.

4.9.1.5. Заходи захисту повинні застосовуватися залежно від виду додатку і ступеня впливу пошкодження інформації на ділову діяльність. Наступні системні операції повинні контролюватися засобами захисту:

• запуск програм;

• зміна файлів;

• передача управління від програми до програми.

4.9.1.6. Для того щоб виявити і запобігти випадкам пошкодження даних, необхідні:

• перевірка правильності системних даних, що були згенеровані;

• перевірка цілісності даних і програмного забезпечення після їх передачі з одного комп'ютера на інший;

• перевірка загальної контрольної суми всіх записів і файлів;

• перевірка того, що програми запускаються у відповідний час;

• перевірка того, що програми запускаються у відповідному режимі і зупиняються у разі несправностей, а також, що зв'язані процеси зупиняються до усунення всіх проблем;

• аутентифікація повідомлень для виключення їх змін або пошкоджень під час передачі;

• шифрування повідомлень для їх захисту від перехоплення;

• перевірка вихідних даних додатків для того, щоб переконатися в їх правильності;

• перевірка правильності і сенсу вихідних даних;

• перевірка всіх контрольних точок, щоб переконатися, що всі дані були оброблені;

• надання системі обробки інформації всіх необхідних даних для визначення правильності, повноти, точності і класу інформації;

• процедури для перевірки правильності вихідної інформації;

• визначення відповідальності для всього персоналу, залученого в процес обробки вихідних даних.